俄罗斯 APT29 组织利用水坑攻击针对移动用户

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年11月6日 09:00
湖北

去阅读

导读

与俄罗斯有关联的APT29组织通过被劫持的网站和遭入侵的分析服务针对iOS和Android用户发动攻击。

Sekoia 表示，一场大规模的水坑攻击正针对 iOS 和 Android 用户展开，该机构将这场攻击活动与 APT29（又称俄罗斯对外情报局（SVR）相关组织、Cozy Bear、Nobelium、BlueBravo、Midnight Blizzard 以及 The Dukes）关联起来。所谓水坑攻击，是指攻击者对网站进行恶意植入，导致访问该网站的用户自身被感染。

Sekoia 在2026年10月中旬发现了这场网络活动。该活动涉及对美国、乌克兰、捷克共和国和保加利亚的高知名度网站进行黑客攻击或克隆。此外，该活动还针对乌克兰网络分析服务平台Plerdy发动了供应链攻击，数千个网站（其中大多数为乌克兰网站）均加载了该平台。

攻击者使用了三种不同的方法针对受害者，但最终都指向了同一个恶意负载。他们向被黑网站注入 JavaScript，创建仿冒合法网站并暗中植入恶意代码的假网站，还入侵了 Plerdy 分析服务，通过其脚本感染相关网站。

Sekoia 首先在一家乌克兰天然气生产公司的网站上发现了该活动。其他被入侵的网站包括美国一家主要化工行业协会、一个欧洲极右翼政党，以及一个与军方有关联的保加利亚网站。

在保加利亚的案例中，攻击者修改了现有的 JavaScript 库，却没有更改网站的可见页面。研究人员在目标组织中未发现明确规律，不过他们认为部分网站可能是为了接触特定人员而被选中的。

Sekoia 还识别出两个旨在冒充合法服务的虚假网站。其中一个仿冒了美国250周年纪念相关的 America250 项目，另一个则复刻了位于英国国防部和唐宁街附近的奢华酒店——OWO 莱佛士伦敦酒店的官网。

“Sekoia 发布的报告中写道：‘第二个网站theowo[.]club目前已下线，它曾作为伦敦莱佛士酒店（位于欧沃大厦）官网的反向代理服务器。该酒店是一家享有盛誉的豪华酒店，坐落于具有历史意义的旧陆军部大楼内。’‘这家酒店的位置尤为引人注目，因为它毗邻英国多个敏感政府机构，包括国防部以及英国首相的官邸和办公场所——唐宁街10号。’”

这家酒店的关联尤为值得关注，因为据报道，乌克兰总统弗拉基米尔·泽连斯基在10月14日访问伦敦期间曾下榻于此。Sekoia 认为这个伪造的网站可能被用于通过鱼叉式网络钓鱼针对外交使团，但同时强调这一可能性尚未得到证实。

2026年8月27日至9月3日期间，攻击者入侵了a.plerdy[.]com域名下的Plerdy跟踪工具。在一周时间里，访问者同时加载了Plerdy的脚本和攻击者的分析脚本。受影响的多个网站与军事及军事招募相关，包括陆军、特种部队和军事装备类网站。

“2026年8月27日至9月3日期间，该入侵组织攻破了托管在a.plerdy[.]com域名下的乌克兰Plerdy分析跟踪器，数千个网站加载了该跟踪器，其中绝大多数是乌克兰网站。”报告称：“目前仍不清楚攻击者是针对特定网站的访问者，还是试图攻破尽可能多的未打补丁的移动设备，在有选择地识别并利用感兴趣的信息之前，不加区别地窃取数据。”

Sekoia 无法确定其目标是特定访问者还是尽可能多的未打补丁手机，后续才进行筛选。该机构还认为，攻击者在未能直接向依赖 Plerdy 的乌克兰高价值网站注入代码后，可能转而使用了这款工具。Plerdy 的有效载荷指向一个负载均衡域名，该域名会将流量分发至多个交付服务器。

攻击者称之为 UltimateFingerprinter 的分析脚本依附于一个经过压缩的 AngularJS 库，该库占了一个 2.3 MB 文件的 98%。Sekoia 认为，这样的体积可能会阻碍大型语言模型进行分析，也可能让该脚本看起来合法合规。该脚本会运行 61 个收集器，生成 394 个字段，随后将这些字段发送至服务器，由服务器决定是否返回漏洞利用代码。

奇怪的是，几乎所有这些数据都无关紧要。只有像 99999 这样不合常理的屏幕尺寸，或者设备上报零接触点时，才会阻止邮件送达。Sekoia 不清楚攻击者为何收集这么多数据，也没有发现这些数据后续被使用的迹象。

Sekoia 从交付服务器中提取出三条漏洞利用链。A类针对iOS 16.7系统，可窃取Cookie信息；B类针对iOS 18.5系统，能获取设备全部数据；C类针对安卓Chrome浏览器139至145版本（出于塞科亚无法解释的原因，排除了143版本），可窃取Chrome Cookie及Wi-Fi密码。

“在调查过程中，我们针对static[.]flux-telemetry[.]com上的指纹识别端点测试了不同的浏览器配置文件，以获取向访问者提供的漏洞利用程序。”报告称。“这让我们获取了三套完整的漏洞利用链（后文分别命名为A、B和C）及其最终有效载荷，这些程序均针对Android和iOS系统。以下是我们的发现总结：”

B类威胁是DarkSword，Sekoia将其描述为一款来自商业监控厂商的疑似iOS漏洞利用工具包，该工具包于2026年9月上传至VirusTotal。它会窃取短信和iMessage信息、邮件索引、语音邮件、WhatsApp与Telegram数据库、钥匙串密码及令牌、账户凭证和Wi-Fi密钥。此外，它还会盗取联系人、通话记录、日历、备忘录、Safari历史记录与Cookie、位置缓存、健康数据、照片以及iCloud云盘内容。

Sekoia 称之为 AndroSnitch 的安卓恶意程序负载会收集 Chrome 的 Cookie、已保存的登录信息和浏览记录，以及 Wi-Fi 设置。该恶意程序仅针对三星 Galaxy S25 Ultra 这一款手机机型。

它与 Google TAG 记录在案的 2024 年一款名为 AndroSnatch 的恶意程序负载相似，但由于样本数量过少，无法证明二者存在关联。iOS 端的 Cookie 链会设置一个标记 Cookie，旨在阻止设备在一天内被再次感染，然而一处编码错误导致该 Cookie 仅一分钟后就失效了。

所有被盗数据都会发送至 ad.starx-net[.]com:8881/telemetry/v12。设备上不会留存任何链。所有链均依赖已知漏洞，且未使用零日漏洞。

为明确归因，Sekoia 掌握多条相关线索。某计算机应急响应团队（CERT）表示，某被入侵网站的后端文件中留存的痕迹，与一份关于2025年APT29“水坑攻击”行动的非公开报告相吻合；谷歌威胁分析小组（TAG）则称，该攻击框架与2024年APT29针对蒙古政府网站发起的行动特征相似。

受害者主要集中在欧美地区，乌克兰为重点目标；相关基础设施分布在多家主机服务商处，而一家被黑的捷克极右翼网站，也契合APT29长期针对欧洲政党的作案模式。该机构判定此次关联的可信度为中等到较高，并正与受影响国家的计算机应急响应团队开展协作。

这场活动揭示了漏洞利用工具包如何向下渗透市场。Sekoia 表示，国家支持的组织持续复用DarkSword等商业监控供应商的框架，而打包的漏洞利用链降低了高级移动攻击所需的成本和技术门槛。该机构预计这种复用行为将变得更加频繁。

好消息是，Sekoia 的攻击者并没有新的手段。该产品的供应商在此次攻击活动开始前就已修复了所有漏洞，且这些漏洞对完全更新后的设备均不奏效。

“这些漏洞均不包含零日漏洞，也不会对已完全更新的设备造成影响。在本次攻击活动开始前，各厂商已修复了所有漏洞。该行动利用非零日漏洞针对未打补丁的设备展开；运行最新操作系统的用户则不会受到此类攻击的威胁。”报告总结道。

“我们有中高把握度评估认为，此次水坑攻击行动与APT29相关联，该行动结合了多种网页投递载体与针对安卓和iOS设备的N天移动漏洞利用链。在直接被攻陷的网站中，我们的分析未发现单一的行业攻击目标模式。尽管受害对象集中在乌克兰和美国，但其中还包含了澳大利亚一家医疗诊所等无关机构，这使得对该行动的整体战略解读变得复杂。不过，我们评估认为，这些网站的选取可能是基于我们无法获取的目标情报，目的是对特定关注对象进行画像并实施感染。攻击者通过部署类中间人攻击手段，截获与外交或高关注度事件相关的访问者。”

技术报告全文：

https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits

新闻链接：

https://securityaffairs.com/202473/apt/russian-apt29-targets-mobile-users-with-watering-hole-attacks.html

今日安全资讯速递

APT事件

Advanced Persistent Threat

1. 黑客劫持搜狗输入法 DNS 请求以部署 DarkVigil 后门

一个被称为SlippyNunchucks的威胁组织，被指参与了一起域名系统（DNS）劫持行动。该行动利用搜狗输入法Windows版本中不安全的HTTP通信，作为监视活动的一部分，旨在部署名为DarkVigil（又称FDMTP）的植入程序。

🔗https://thehackernews.com/2026/11/china-aligned-hackers-hijack-sogou.html

2. AI 驱动的攻击为植入后门的 ARTEX，致使 62 个控制台暴露于 Root 访问之下

印度计算机应急响应小组（CERT-In）披露，其追踪的一个代号为Crafty Falcon的人工智能（AI）辅助威胁组织，正针对印度银行业、金融服务及保险（BFSI）行业的机构发动攻击。

🔗https://thehackernews.com/2026/11/backdoored-docker-image-for-artex-ai.html

3. 俄罗斯 APT29 组织利用水坑攻击针对移动用户

与俄罗斯有关联的APT29组织通过被劫持的网站和遭入侵的分析服务针对iOS和Android用户发动攻击。

🔗https://securityaffairs.com/202473/apt/russian-apt29-targets-mobile-users-with-watering-hole-attacks.html

4. SOC 档案 5：管道中的幽灵，或 Storm-2603 发起的无文件 SharePoint 入侵事件

2025年，多名威胁攻击者利用本地部署的Microsoft SharePoint中的CVE-2025-53770和CVE-2025-53771（ToolShell漏洞），通过构造的HTTP请求实现了远程代码执行。卡巴斯基对该事件进行回顾性分析。

🔗https://securelist.com/storm-2603-fileless-toolshell-attack/121467/

5. 泰国反对派领导人警告间谍软件攻击

泰国两名反对党领导人表示，苹果公司向他们通报了遭遇精密网络攻击的情况，这引发了人们对政治监控的担忧。

🔗https://www.silicon.co.uk/cybersecurity/thailand-spyware-attacks-632182

6. 美国多个官方机构呼吁关键基础设施加强工业制冷及冷链监控系统的网络安全

CISA、FBI、HHS、USDA 和 DOT 敦促关键基础设施行业加强工业制冷和冷链监控系统的网络安全。

🔗https://www.cisa.gov/news-events/news/cisa-fbi-hhs-usda-and-dot-urge-critical-infrastructure-strengthen-industrial-refrigeration-and-cold

一般威胁事件

General Threat Incidents

1. 黑客利用被木马化的 CWP 网络服务器为 Linux 服务器植入后门

一款名为 CWPdoor 的新型 Linux 恶意软件正通过 cwpsrv 的木马化版本进行传播，cwpsrv 是 Control Web Panel（CWP）管理界面背后的网络服务器。CWPdoor是一种被动式后门程序，它会在受感染的系统上处于休眠状态，直到攻击者发送特制的请求。

🔗https://www.bleepingcomputer.com/news/security/hackers-backdoor-linux-servers-using-trojanized-cwp-web-server/

2. 黑客劫持 cPGuard 自动更新以部署后门并窃取数据

攻击者已入侵cPGuard网络安全套件的更新基础设施，以分发后门程序和数据窃取脚本。

🔗https://www.bleepingcomputer.com/news/security/hackers-hijack-cpguard-autoupdate-to-deploy-backdoor-steal-data/

3. DigiCert 数据泄露事件导致客户信息及身份证件信息泄露

DigiCert 发出警告称，其遭遇了数据泄露事件。此前一次服务器迁移操作失误，将一个内部业务系统暴露在了互联网上，导致未授权人员得以访问客户信息和身份证件。

🔗https://www.bleepingcomputer.com/news/security/digicert-data-breach-exposes-customer-information-identity-documents/

4. DreamHost 确认数据泄露，黑客窃取 FTP/SFTP 凭据并访问客户电子邮件

DreamHost 确认发生了一起涉及其基于浏览器的文件管理器的安全事件，该事件泄露了 FTP/SFTP 用户名和密码，以及少数 webmail 用户的凭据。

🔗https://gbhackers.com/dreamhost-confirms-data-breach/

5. 菲律宾政府数据泄露事件或致69GB外籍劳工信息外泄

一名未知的操作员似乎在半小时内从菲律宾海外就业管理局窃取了 SQL Server 备份文件。

🔗https://www.darkreading.com/cyberattacks-data-breaches/philippine-migrant-worker-data-69gb-government-breach

6. Synology 警告针对运行过时 DSM 版本的 NAS 设备的勒索软件攻击

Synology 警告称，针对运行过时 DSM 版本的 NAS 设备的勒索软件攻击正在增加。

🔗https://securityaffairs.com/202343/security/synology-warns-of-ransomware-attacks-targeting-nas-devices-running-outdated-dsm-versions.html

7. 黑客开发新型HYFLOCK勒索软件，该软件可加密文件并试图阻止恢复

HYFLOCK勒索软件运营商开发了一系列Windows加密程序，这些程序会锁定文件、访问网络共享并试图阻碍恢复。

🔗https://gbhackers.com/hyflock-ransomware/

8. Google Calendar 钓鱼活动劫持会话并绕过多因素认证（MFA)

一场钓鱼活动使用了 Google 日历邀请、可信重定向和伪造登录页面来劫持企业 Google 会话并绕过 MFA 保护。

🔗https://www.bleepingcomputer.com/news/security/google-calendar-phishing-campaign-hijacks-sessions-bypasses-mfa/

9. 因拼写错误，美国政府邮件系统易遭滥用

错误或过时的域名系统记录可能让攻击者对企业的电子邮件系统拥有意想不到的控制权。

🔗https://www.darkreading.com/cybersecurity-operations/us-government-email-systems-abuse-typos

10. 皇后区公共图书馆称勒索软件攻击导致其无线网络和现场电脑瘫痪

纽约皇后区公共图书馆表示，一个勒索软件团伙已对其系统进行加密，并关闭了多项数字服务。

🔗https://therecord.media/queens-library-ransomware-causes-disruptions

漏洞事件

Vulnerability Incidents

1. CVE-2026-58868：严重 Android 漏洞可能让攻击者执行远程代码

安卓严重漏洞CVE-2026-58868可在运行安卓14至17系统的设备上实现无需用户交互的远程代码执行。

🔗https://securityaffairs.com/202414/mobile-2/cve-2026-58868-critical-android-bug-could-let-attackers-run-remote-code.html

2. CISA 将 WordPress RCE 漏洞标记为在攻击中被积极利用

美国网络安全和基础设施安全局（ CISA ）警告联邦机构，攻击者已经开始利用最近修补的高严重性WordPress漏洞。

🔗https://www.bleepingcomputer.com/news/security/cisa-flags-wordpress-rce-flaw-as-actively-exploited-in-attacks/

3. Zyxel GS1900 补丁无法阻止允许 Root 命令执行的零日漏洞利用

利用此漏洞，任何可以访问交换机的Web管理界面的人都可以在其上运行命令，而无需登录。Zyxel已经发布了10款GS1900型号的新固件，填补了这一空白。

🔗https://thehackernews.com/2026/11/zyxel-gs1900-patch-fails-to-block-zero.html

4. 黑客利用已修补的 Apple 漏洞投递信息窃取恶意软件

漏洞为 CVE-2024-27834（CVSS 评分：5.5），属于身份验证不当问题，该漏洞可能让具备任意读写权限的攻击者绕过指针身份验证。

🔗https://thehackernews.com/2026/11/hackers-exploit-patched-apple-flaw-to.html

5. CVE-2026-119084 – Amazon Redshift JDBC 驱动程序连接参数中的不安全类加载导致远程代码执行

我们识别出 CVE-2026-119084，这是 Amazon Redshift JDBC Driver 2.3.0 之前版本中的一个问题。在特定条件下，驱动程序在处理 JDBC 连接 URL 参数或 AWS 凭证配置文件字段时，可能加载并执行任意类。

🔗https://aws.amazon.com/security/security-bulletins/rss/2026-168-aws/

6. Chrome 157 修复 213 个安全问题，其中包含 7 个高危漏洞

11月3日，谷歌向Windows、Mac和Linux平台的稳定渠道推送了Chrome 157版本。该更新将在未来数天至数周内逐步推送。

🔗https://www.malwarebytes.com/blog/bugs/2026/11/chrome-157-fixes-213-security-issues-including-7-critical-flaws

7. Debian 和 Ubuntu Linux APT 漏洞允许攻击者以 Root 权限执行恶意代码

APT 包管理器中的一个漏洞允许攻击者拦截 Linux 系统与软件包仓库之间的通信，安装恶意软件包，并以 root 权限执行代码。该漏洞被追踪为 CVE-2026-109518，在特定下载条件下会影响 Debian、Ubuntu 及其衍生发行版。

🔗https://gbhackers.com/debian-and-ubuntu-linux-apt-vulnerability/

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事