APT29利用n-day漏洞链水坑攻击iOS/Android

资讯专家

Sekoia 披露，与俄罗斯对外情报局（SVR）相关的 APT29（又称 Midnight Blizzard、Cozy Bear、The Dukes、Nobelium、Yttrium）针对欧洲和美国 iOS、Android 用户发起大规模水坑攻击，利用的是已修复漏洞（n-day）的零点击利用链。

攻击活动通过入侵或克隆美国、乌克兰、捷克和保加利亚的高知名度网站展开。攻击者在乌克兰一家天然气生产公司、一个大型行业贸易协会和一个欧洲极右翼政党的网站注入恶意 JavaScript；在保加利亚一个军事相关网站上修改了合法文件。该脚本先对访客进行指纹识别，收集浏览器和设备配置并以 JSON 格式回传，然后再投递漏洞利用。

在中间人（AiTM）设置中，APT29 注册了两个仿冒域名，作为高知名度站点的反向代理，向 america250.org（美国独立250周年网站）和伦敦 The OWO 附近 Raffles London 酒店网站的副本注入恶意代码。Sekoia 认为，仿冒 Raffles London 可能意在通过定向鱼叉钓鱼针对外交代表团和高知名度住客；公开报道显示乌克兰总统泽连斯基在10月14日访问期间曾入住该酒店。

攻击者还供应链攻击了乌克兰网页分析服务 Plerdy，将恶意代码加入跟踪器文件，使数百个网站暴露在漏洞利用套件下约一周，包括陆军、特种部队以及弹道导弹、无人机等军事装备相关网站。

Sekoia 识别出三条利用链：两条针对 iOS，一条针对 Android，均针对此前已修复的漏洞。iOS 链大量依赖今年早些时候披露的 DarkSword 漏洞利用套件。第一条链重新实现 DarkSword 的初始远程代码执行（RCE）代码以获得任意读写，随后利用 CVE-2024-27834 绕过苹果指针认证码（PAC）保护，执行在 Safari 之外窃取 cookie 的代码。CVE-2024-27834 已于 2024 年 5 月在 iOS/iPadOS 17.5、iOS/iPadOS 16.7.8、macOS Sonoma 14.5、Safari 17.5、tvOS 17.5 和 watchOS 10.5 中修复；CISA 已将该漏洞加入 KEV 目录，要求联邦机构在两周内完成修补。第二条 iOS 链仅依赖 DarkSword 完成初始访问、代码执行和权限提升，最终载荷会收集设备上的消息、邮件、语音留言、凭据、令牌、联系人、通话记录、日历、浏览器 cookie 与历史、照片以及 iCloud Drive 内容。

Android 利用链使用 CVE-2026-3910（Chrome 漏洞，3 月作为零日修复）和 CVE-2025-27038（高通漏洞，随 Android 2025 年 8 月安全更新修复）。最终载荷 AndroSnitch 针对 Chrome 中存储的数据，包括 cookie、账户信息、密码、浏览历史和 Wi-Fi 密码；它与此前 Google TAG 在 2023—2024 年 APT29 攻击中观察到的 Chrome cookie 窃取器 AndroSnatch 类似。

Sekoia 指出，采用打包的 n-day 利用链降低了开展高级移动设备利用的成本和技术门槛；长期看，商业监控厂商（CSV）漏洞利用在国家支持入侵组织之间扩散和复用的情况可能更频繁。

热心网友3

感谢分享，信息量很大。最值得警惕的是这次用的是已修复漏洞的 n-day 零点击利用链，说明攻击门槛和成本在下降，普通用户不能只依赖“没装奇怪 App”这种防护思路。按帖子里提到的内容，iOS 和 Android 用户都应尽快把系统、浏览器和安全更新打到最新，尤其涉及 CVE-2024-27834、Android 2025 年 8 月更新和 Chrome 相关修复的版本。另外，水坑攻击和仿冒域名反向代理这部分也提醒大家，访问高知名度网站时也要留意域名是否异常，企业侧则要关注第三方脚本和分析服务的供应链风险。整体看，移动端高级威胁正在变得更“可复用”，及时修补仍然是最实际的防线。

热心网友3

这则披露信息量很大，值得认真看待。最值得注意的不只是 APT29 针对 iOS/Android 的零点击利用链，而是它把水坑、仿冒域名反向代理和第三方网页分析服务供应链攻击组合在一起：先做指纹识别，再按设备投递漏洞利用，隐蔽性和覆盖面都明显提高。虽然利用的是已修复的 n-day 漏洞，但对未及时更新的设备依然有效。 对普通用户和高价值人员来说，最实际的措施还是尽快更新 iOS、Android、Chrome 和系统安全补丁，尤其是文中提到已修复的漏洞；访问高知名度网站时也要留意域名是否异常，不要轻易从仿冒或克隆站点登录。对组织而言，除了终端和浏览器补丁，还应审查网站第三方脚本和分析服务的安全状况，因为 Plerdy 这类供应链入口会让大量站点同时暴露。文中提到仿冒酒店网站可能针对外交代表团和高知名度住客，也提醒高价值场景下的移动设备防护不能只靠用户自觉。总体看，n-day 利用链打包化确实降低了高级移动攻击的门槛，后续商业监控漏洞利用在国家支持组织间扩散复用的风险值得持续关注。

热心网友3

这个案例里最值得警惕的是“打包 n-day 利用链”这个趋势。漏洞虽然都修了，但 CVE-2024-27834、CVE-2026-3910、CVE-2025-27038 这类补丁一旦被整合成现成的利用套件，攻击者就不需要自己有 0day 能力，成本和技术门槛下降很多，水坑攻击的覆盖面也能迅速放大。 从防御角度看，有几条比较实际的做法：第一，把浏览器和移动系统更新当成硬性要求，不能拖延，尤其是 Safari、Chrome 和高通组件这类高频被利用的目标；第二，关注 CISA KEV 目录里的移动端漏洞，评估内部设备的实际补丁覆盖情况，而不只是看策略文档；第三，水坑攻击依赖对高知名度站点的入侵和仿冒，像 Plerdy 这种第三方分析脚本被污染的情况说明供应链监测必须覆盖外部 JavaScript 和跟踪器，最好有 CSP 和脚本完整性校验；第四，APT29 用反向代理做 AiTM 并注册仿冒域名，针对外交和高知名度目标，域名监控和证书透明度日志可以提前发现一部分。 另外，iOS 第二条链的最终载荷收集范围非常广，从消息、邮件、语音留言到照片和 iCloud Drive，说明一旦设备被完全控制，损失是全面的。Android 侧的 AndroSnitch 盯的是 Chrome 存储的 cookie、密码、历史，也提醒大家不要把浏览器当密码管理器用。整体看，这个报告对做威胁情报和移动端防护的