研究人員揭露APT29鎖定iOS與Android的零點擊攻擊，利用已修補漏洞竊取資料

可信網站成為攻擊入口

網路安全公司Sekoia的威脅研究團隊於11月4日公佈調查，指出一項被其以中高信心歸因於俄羅斯APT29組織的攻擊行動，利用遭入侵網站、仿冒網站及第三方網頁分析服務，向iPhone與Android裝置投放惡意程式碼。攻擊者先在網頁中加入JavaScript腳本，辨識訪客使用的作業系統與瀏覽器版本，再向符合條件的裝置提供對應漏洞利用鏈。Sekoia表示，這些攻擊不需要使用者在網頁載入後再點擊連結或下載檔案，因此被稱為零點擊攻擊；但受害者仍須造訪遭入侵或仿冒的網站，不能理解成手機在任何情況下都會被遠端攻破。

三種方式投放惡意腳本

Sekoia辨識出三種感染途徑。第一種是直接入侵合法網站並植入惡意JavaScript，涉及烏克蘭一家天然氣生產商、美國化工產業協會及保加利亞軍事相關網站等。第二種是建立仿冒網站，在使用者瀏覽真實網站時充當中間代理，暗中修改網頁內容並注入腳本；研究人員列出的仿冒目標包括美國獨立250週年紀念網站America250及倫敦Raffles飯店。第三種則是入侵烏克蘭網頁分析服務Plerdy的SEO Tracker，在2026年8月27日至9月3日期間，利用遭修改的追蹤腳本影響載入該元件的網站訪客。Sekoia表示，數千個網站曾載入這項追蹤元件，但這不代表數千臺裝置已經感染。

iPhone與Android使用不同漏洞鏈

Sekoia分析出三條完整攻擊鏈。鎖定iOS 16.7的鏈條利用CVE-2025-43529及CVE-2024-27834，目標是竊取瀏覽器Cookie。鎖定iOS 18.5的鏈條使用五個漏洞，包括CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510及CVE-2025-43520，可蒐集簡訊、通訊軟體資料、鑰匙圈憑證、位置資訊、照片及其他裝置資料。Android鏈條則鎖定Chrome 139至145版本（不包括143），利用CVE-2026-3910及CVE-2025-27038，蒐集瀏覽器Cookie、登入資料、瀏覽紀錄及已儲存的Wi-Fi密碼。

APT29歸因仍屬研究機構判斷

Sekoia根據惡意基礎設施、攻擊手法、受害網站特徵，以及與過去行動的技術重疊，以中高信心將這次行動歸因於APT29，也稱為Midnight Blizzard、Cozy Bear或The Dukes。該組織普遍被認為與俄羅斯對外情報局有關。不過，Sekoia也說明，部分歸因依據來自合作夥伴提供的非公開報告，外部研究人員無法獨立檢視全部資料。因此，APT29歸因應理解為研究團隊的評估，而不是已由政府機關公開確認的結論。

漏洞已有修補，未更新裝置仍有風險

這次行動的特點並非攻擊者發現全新的零時差漏洞。Sekoia表示，三條攻擊鏈使用的都是廠商已發布修補程式的已知漏洞（n-day），攻擊目標是尚未安裝安全更新的裝置。Google Threat Intelligence Group及Lookout先前也分析過DarkSword iOS漏洞利用鏈，並說明相關漏洞已由Apple陸續修補。Google Chrome也已針對CVE-2026-3910發布安全更新。使用者應安裝裝置與瀏覽器可用的最新安全版本，並避免造訪來源不明的仿冒網站。企業網站管理者也應檢查第三方分析腳本、網站範本及外部JavaScript相依元件，避免合法網站成為攻擊者的投放管道。