APT29利用N DAY漏洞对 iOS 和 Android 设备发起零点击攻击

原创

ZM
ZM

暗镜

2026年11月11日 07:00
北京

去阅读

与俄罗斯黑客有关的大规模水坑攻击一直以访问被入侵网站或冒充合法门户网站的虚假网站的 iOS 和 Android 用户为目标。

该活动利用了美国、乌克兰、捷克共和国和保加利亚的多个知名网站，这些网站投放了相同的有效载荷，用于分析访问者及其设备。

初始阶段允许攻击者确定浏览器版本，以便部署“特定于平台的 n day漏洞利用链，而无需用户交互”。

网络安全公司 Sekoia 的研究人员以中等到高度的信心将此次行动归因于 APT29（又名 Midnight Blizzard），这是一个最近与酒店 WiFi 攻击有关的俄罗斯威胁组织。

根据他们的调查结果，被入侵的合法网站分别属于一家乌克兰天然气生产商、一家美国化学工业贸易协会和一家保加利亚军事相关网站。

仿冒域名冒充 America250 官方网站和伦敦莱佛士酒店 (位于 OWO 酒店内)，以中间人攻击模型转发真实网站的内容。

研究人员还发现，该威胁行为者入侵了乌克兰网络分析服务 Plerdy，并修改了其 SEO 跟踪器。在 8 月 27 日至 9 月 3 日期间，数千个网站（其中大部分位于乌克兰）加载了该跟踪器。

在所有案例中，初始有效载荷都是一段 JavaScript 代码，用于分析网站访问者的设备和浏览器版本。然后，命令与控制 (C2) 服务器推送正确的攻击链。

据 Sekoia 称，攻击者利用以下漏洞窃取了 cookie、即时通讯应用数据库和凭据：

• CVE-2025-43529和 CVE-2024-27834（存在于 iOS 16.7 中）。该漏洞利用程序会攻击存储在 Safari 浏览器中的 Cookie。
• CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510 和 CVE-2025-43520（在 iOS 18.5 中）。该漏洞利用程序会窃取 WhatsApp 和 Telegram 数据库、钥匙串凭证、位置数据和照片。
• CVE-2026-3910和CVE-2025-27038（在 Chrome for Android 139 至 145 版本中，不包括 143 版本）。利用 AndroSnitch 收集 Chrome cookie、登录数据、浏览历史记录和已保存的 WiFi 凭据。

研究人员在无法访问的代码或备用利用路径中发现了另外四个漏洞，但它们并未在分析的攻击链中使用。

CVE-2025-43529 与“DarkSword”漏洞利用工具包有关，该工具包最早于 3 月份被发现，并且至少从 2025 年 11 月起就被多个威胁组织用于攻击。

Sekoia 表示 ，APT29 在这些攻击中使用的有效载荷均未建立持久性，因此设备重启即可停止恶意活动，直到再次访问被入侵的网站。

关于将其归因于 APT29，Sekoia 指出，这与该威胁组织过去的“水坑行动”有相似之处，基础设施重叠，并且其合作伙伴将一个被入侵的网站与 2025 年 APT29 的活动联系起来。