APT29“Poisoned Source”行动利用被入侵网站和 Plerdy 追踪器攻击 iPhone 与安卓手机

法国网络安全公司 Sekoia 披露了一场大规模间谍行动：攻击者把合法网站变成了针对手机的陷阱。在 2026 年 11 月 4 日发布的报告中，其威胁检测与研究（TDR）团队介绍了代号为 “Poisoned Source”（毒源） 的行动：攻击者通过三种感染途径，向未更新系统的 iPhone 和安卓智能手机投递漏洞利用链——受害者无需点击或下载任何内容，访问被入侵的页面就足以中招。

据 Sekoia 介绍，该行动于 2026 年 10 月中旬被发现。将其归因于 APT29（又称 Midnight Blizzard 或 Cozy Bear，普遍认为与俄罗斯对外情报局 SVR 有关联）是该公司基于技术重叠和作案模式作出的中高度可信评估，并非对操纵者身份的独立证实。

三种触达受害者的方式

调查始于一家乌克兰天然气生产商网站上发现的恶意 JavaScript。此后，Sekoia 确定了三种感染途径：

  • 直接注入合法网站：将恶意代码植入页面模板或现有 JavaScript 文件——目标包括美国一家化工行业协会网站、保加利亚一家军事相关网站和欧洲某极右翼政党的网站。
  • 仿冒域名（AiTM）：作为真实网站反向代理的仿冒站点，例如模仿美国独立 250 周年官方网站的 america250[.]holiday，以及模仿伦敦 OWO 莱佛士酒店网站的 theowo[.]club，后者靠近英国国防部和唐宁街。
  • 供应链入侵：2026 年 8 月 27 日至 9 月 3 日期间，攻击者篡改了乌克兰分析追踪器 Plerdy 的脚本，该追踪器被数千个网站（大多为乌克兰网站）加载，其中包括军队、特种部队和军事装备网站。

三种途径投递的是同一载荷——UltimateFingerprinter 脚本，它会对访问者的浏览器和设备进行画像（61 个采集器、394 个字段），再根据平台投递相应的漏洞利用链。

每条利用链的作用

Sekoia 完整还原了三条漏洞利用链，全部基于已知且已被修复的漏洞，没有零日漏洞：

  • iOS 16.7（A 链）：CVE-2025-43529 和 CVE-2024-27834，用于窃取浏览器 Cookie 并复用会话。
  • iOS 18.5（B 链）：DarkSword 工具包，据信来自一家商业监控供应商，涉及 CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510 和 CVE-2025-43520，可获取短信、iMessage、WhatsApp 和 Telegram 数据、钥匙串密码、照片、位置和健康数据。
  • Chrome 139 至 145（不含 143 版本）的安卓设备（C 链）：CVE-2026-3910（Chrome V8 引擎漏洞）结合 CVE-2025-27038（高通 Adreno GPU 驱动漏洞），逃出浏览器沙箱。最终恶意软件 AndroSnitch 会收集 Chrome Cookie、已保存的登录信息、浏览记录和 Wi-Fi 密码。如果设备被识别为 Galaxy S25 Ultra，攻击会自行停止。

谁是安全的——还有哪些未知

报告的核心结论对保持手机更新的用户来说是好消息：所有被利用的漏洞在行动开始前均已被修复，Sekoia 表示，系统保持最新状态的用户不会受到这些利用链的影响。载荷也不会在设备上留下持久驻留。

Sekoia 没有披露成功入侵的设备数量；美国网络安全与基础设施安全局（CISA）于 11 月 4 日将 CVE-2024-27834 列入已知被利用漏洞（KEV）清单，但未将其与本次行动挂钩。该公司表示，正与受影响国家的 CERT 合作识别受害者并瓦解相关基础设施。

图片：Sekoia 关于“Poisoned Source”行动的信息图。图片来源：Sekoia。

来源

透明度声明：本文在人工智能的协助下，基于对公开报道和互联网来源的交叉核对完成。请查阅原始来源以确认细节。

Muse