可信網站成爲攻擊入口
網絡安全公司Sekoia的威脅研究團隊11月4日公佈調查，稱一個被其以中高信心歸因於俄羅斯APT29組織的攻擊行動，利用遭入侵的網站、仿冒網站及第三方網頁分析服務，向iPhone與Android設備投放惡意代碼。攻擊者先在網頁中加入JavaScript腳本，識別訪客使用的操作系統與瀏覽器版本，再向符合條件的設備提供對應漏洞利用鏈。Sekoia稱，這些攻擊不需要用戶在網頁加載後再點擊鏈接或下載文件，因此被描述爲零點擊攻擊；但受害者仍須訪問遭入侵或仿冒的網站，不能理解爲手機在任何情況下都會被遠程攻破。
三種方式投放惡意腳本
Sekoia識別出三種感染路徑。第一種是直接入侵合法網站並植入惡意JavaScript，涉及烏克蘭一家天然氣生產商、美國化工行業協會及保加利亞軍事相關網站等。第二種是建立仿冒網站，在用戶瀏覽真實網站時充當中間代理，暗中修改網頁內容並注入腳本；研究人員列出的仿冒目標包括美國獨立250週年紀念網站America250及倫敦Raffles酒店。第三種則是入侵烏克蘭網頁分析服務Plerdy的SEO Tracker，在2026年8月27日至9月3日期間，利用被修改的追蹤腳本影響加載該組件的網站訪客。Sekoia稱，數以千計的網站曾加載該追蹤組件，但這不等於數千臺設備已經感染。
iPhone與Android使用不同漏洞鏈
Sekoia分析出三條完整攻擊鏈。針對iOS 16.7的鏈條利用CVE-2025-43529及CVE-2024-27834，目標是竊取瀏覽器Cookie。針對iOS 18.5的鏈條使用五個漏洞，包括CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510及CVE-2025-43520，可收集短信、通訊軟件資料、鑰匙串憑證、位置資訊、照片及其他設備數據。Android鏈條則針對Chrome 139至145版本（不包括143），利用CVE-2026-3910及CVE-2025-27038，收集瀏覽器Cookie、登入資料、瀏覽紀錄及已保存的Wi-Fi密碼。
APT29歸因仍是研究機構判斷
Sekoia依據惡意基礎設施、攻擊手法、受害網站特徵及與過去行動的技術重疊，以中高信心將行動歸因於APT29，也稱Midnight Blizzard、Cozy Bear或The Dukes。該組織被廣泛認爲與俄羅斯對外情報局有關。不過，Sekoia也說明，部分歸因依據來自合作伙伴提供的非公開報告，外部研究人員無法獨立檢查全部材料。因此，APT29歸因應被理解爲研究團隊的評估，而不是已經由政府機構公開確認的結論。
漏洞已有修補，未更新設備仍有風險
這次行動的特點並非攻擊者發現了全新的零日漏洞。Sekoia表示，三條攻擊鏈使用的都是廠商已發佈修補程序的已知漏洞（n-day），攻擊目標是尚未安裝安全更新的設備。Google Threat Intelligence Group及Lookout此前也分析過DarkSword iOS漏洞利用鏈，並說明相關漏洞已由Apple陸續修補。Google Chrome針對CVE-2026-3910也發佈了安全更新。用戶應安裝設備與瀏覽器可用的最新安全版本，並避免訪問來歷不明的仿冒網站。企業網站管理者還應檢查第三方分析腳本、網站模板與外部JavaScript依賴，避免合法網站成爲攻擊者的投放渠道。
