链接都不用点，手机就中招了：APT29 的\"零点击\"攻击全解析
原创
暗网分析师
暗网分析师
开源情报技术研究院
2026年11月7日 06:48
北京
去阅读
导语：不用装 App，不用点\"允许\"，甚至不用做任何操作——只要打开一个网页，iPhone 和安卓手机里的微信、Telegram 数据库、钥匙串密码、相册、Wi-Fi 口令就可能被整包搬走。这不是科幻，而是 2026 年真实发生的攻击行动。
一、事件概览
2026 年 11 月 4 日，国外安全媒体 披露了一起大规模水坑攻击（Watering Hole）。行动被安全公司以\"中等偏高置信度\"归因于俄罗斯国家级 APT 组织APT29（又名Midnight Blizzard、Cozy Bear，即外界熟知的\"舒适熊\"）。
攻击目标非常明确：iOS 与 Android 手机用户。
攻击者先攻陷一批高知名度网站，再用仿冒域名伪装成正规门户，把访客引到陷阱里。只要页面加载完成，恶意 JavaScript 就开始工作——全程不需要用户做任何事。
这就是所谓的\"零点击\"（zero-click）：受害者唯一的\"操作\"，就是打开了那个页面。
二、被攻陷的网站都有哪些
根据 调查，被植入恶意代码的正规网站包括：
| 类型 | 说明 |
|---|---|
| 乌克兰某天然气生产商 | 能源行业门户 |
| 美国某化工行业协会 | 行业机构站点 |
| 保加利亚某军事相关网站 | 国防相关 |
此外，攻击者还注册了仿冒域名，分别伪装成：
美国建国 250 周年官方站点America250
伦敦 OWO 酒店内的Raffles London
这两个仿冒站并非凭空捏造，而是以中间人（AiTM）模式实时回传真实站点的内容——访客看到的页面与正版几乎一模一样，根本察觉不到自己已经走错了门。
更隐蔽的一手是：攻击者攻陷了乌克兰网页分析服务商Plerdy，篡改其 SEO 追踪脚本。这个脚本被数千个网站加载，其中大部分位于乌克兰。投毒窗口为8 月 27 日至 9 月 3 日。
这就是供应链攻击的经典形态——不需要一个个去黑网站，只要黑掉一个\"所有网站都在用\"的组件，就能一次性覆盖海量访客。
三、攻击是怎么跑起来的
整条攻击链分三步，环环相扣：
第一步：指纹识别。
初始载荷是一段注入的 JavaScript。它悄悄收集访客的设备型号、操作系统版本、浏览器版本等信息，回传给攻击者的 C2（命令与控制）服务器。
第二步：按机型\"配货\"。
C2 服务器根据上报的指纹，判断该发哪一套利用链。iOS 16.7、iOS 18.5、Android Chrome 139–145 各自对应不同的组合——精准投喂，绝不浪费弹药。
第三步：无交互执行。
浏览器漏洞在页面加载时被触发，恶意代码直接在沙箱内运行，开始抓取数据。整个过程没有弹窗、没有授权提示、没有任何\"可疑\"迹象。
四、被利用的漏洞清单
Sekoia 记录到的利用链如下，全部为已公开但未及时修补的 n-day 漏洞：
针对 iOS 16.7 —— 窃取 Safari Cookie
- CVE-2025-43529
- CVE-2024-27834
针对 iOS 18.5 —— 窃取即时通讯数据库与系统凭据
- CVE-2025-43529
- CVE-2026-20700
- CVE-2025-14174
- CVE-2025-43510
- CVE-2025-43520
被搬走的东西包括：WhatsApp 与 Telegram 的聊天数据库、钥匙串（Keychain）中的账号密码、地理位置数据、相册照片。
针对 Android Chrome 139–145（143 除外）—— 用 AndroSnitch 抓取
- CVE-2026-3910
- CVE-2025-27038
AndroSnitch 会收集 Chrome 的 Cookie、登录数据、浏览历史，以及系统里保存的 Wi-Fi 密码。
研究者另外还在不可达代码或备用利用路径中发现了 4 个漏洞，只是本轮分析到的利用链没有用上——说明武器库比实际动用的更充足。
其中 CVE-2025-43529 与 3 月首次曝光的\"DarkSword\" iOS 漏洞利用套件相关联，至少从 2025 年 11 月起就已被多个威胁组织投入使用。
五、归因依据
Sekoia 把账算在 APT29 头上，理由有三：
与该组织过往水坑行动在手法上高度相似；
基础设施存在重叠
；
某个被攻陷的站点，曾被合作方关联到 2025 年的一次 APT29 行动。
APT29 是俄罗斯对外情报局（SVR）背景的老牌组织，长期以隐蔽、耐心、技术精良著称，近期还被指与酒店 Wi-Fi 攻击有关——同样是\"你连上就中招\"的路子。
六、一个\"好消息\"
Sekoia 明确指出：本轮攻击中所有载荷都不做持久化。
也就是说，恶意代码只活在浏览器会话里，手机重启一次，活动即告中断——除非你再次访问被投毒的站点。
这既是\"好消息\"，也是\"坏消息\"：重启能清场，但只要你还会逛那些网站，就可能被再抓一遍。
七、你现在该做什么
- 立刻更新系统。
苹果和谷歌已经把本轮涉及的所有漏洞全部修完，苹果甚至把补丁回移植到了更老的 iOS 版本。别再看\"更新提示\"不顺眼了，这次它是真救命。
- 安卓用户重点更新 Chrome。
受影响区间是 139–145（143 除外）。去应用商店确认一下版本号。
- 更新完，重启一次手机。
清掉可能残留在内存里的会话。
- 假设 Cookie 已经泄漏。
如果近期访问过乌克兰、东欧相关行业站点，或者点开过 America250、Raffles London 的\"官网\"，请把重要账号的登录状态全部作废重登，尤其是 Telegram、WhatsApp 和邮箱。
- 别迷信\"我没点任何东西\"。
零点击攻击的全部意义就在于：你的谨慎在这里不构成防线，版本号才是。
八、写在最后
这起行动最值得警惕的地方，不是它用了多少 0day，恰恰相反——用的全是 n-day。
漏洞早就公开了，补丁早就发了，攻击者只是耐心等着：等厂商慢慢推、等用户慢慢更、等企业慢慢测。\"已修复\"和\"已安装\"之间那条时间差，就是他们的猎场。
移动端的安全边界，正在从\"你点了什么\"退到\"你打开了什么\"。当浏览器本身成为入口，及时打补丁就不再是 IT 部门的例行公事，而是每个普通用户手上最实在的防护动作。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论