据法国网络安全公司Sekoia报告及The Record于2026年11月6日的报道，研究人员发现一起针对乌克兰、美国及欧洲用户的大规模移动间谍行动。Sekoia以“中高置信度”评估，该行动由俄罗斯对外情报局（SVR）广泛关联的APT29实施，该组织亦称“Cozy Bear”“Midnight Blizzard”或“The Dukes”[1][2]。攻击者通过入侵合法网站、仿冒高知名度网站以及供应链攻击乌克兰网络分析服务Plerdy，向iOS和Android设备投递平台特定的“n-day”漏洞利用链，窃取浏览器Cookie、Wi-Fi密码，部分情况下获取完整移动设备数据。Sekoia强调，三类利用链均依赖已公开且厂商已修补的漏洞，不含零日漏洞，对已完全更新的设备不奏效[1]。

一、事件概览：三类入口，同一投递管线

Sekoia指出，该行动使用三种感染向量：直接向合法网站注入JavaScript；搭建类似“adversary-in-the-middle”的仿冒域名，动态修改页面HTML以注入恶意脚本；以及入侵乌克兰Plerdy SEO追踪服务。2026年8月27日至9月3日一周内，Plerdy被入侵，使数千个网站加载恶意代码，其中绝大多数为乌克兰站点；数百个合法网站及其访客暴露于利用套件[1]。三者的共同目标是加载外部“UltimateFingerprinter”脚本，收集浏览器和设备属性，再由投递主机根据移动设备和浏览器版本下发针对iOS或Android的利用链。最终载荷旨在窃取浏览器Cookie，部分链还窃取Wi-Fi密码或完整设备数据；攻击未建立持久化，但被盗Cookie可能被用于复用已认证会话、访问网页邮箱等浏览器服务[1]。

二、早期发现与攻击入口

调查始于Sekoia在乌克兰一家天然气生产公司网站顶部发现恶意JavaScript包含，指向攻击者控制的漏洞投递服务器。随后，研究人员又发现美国化工行业主要贸易协会、欧洲极右翼政党、保加利亚军事相关网站等合法网站被入侵；部分网站是模板被注入，部分则是既有合法JavaScript文件被篡改[1]。另有两个高知名度仿冒站点：america250[.]holiday反向代理美国独立250周年官方项目America250.org；theowo[.]club曾反向代理伦敦OWO旧战争办公室内的Raffles London酒店网站，现离线。研究人员认为，前者可能借国家庆典邀请名义实施鱼叉式钓鱼，后者因靠近英国国防部、唐宁街10号等敏感机构，可能针对外交代表团和高规格宾客。公开报道显示乌克兰总统泽连斯基2026年10月14日访问伦敦时曾入住该酒店，但研究人员未发现其被针对的证据[1][2]。

三、三类利用链：从Cookie窃取到“整机收割”

Sekoia测试并还原了三类利用链。Class A针对iOS 16.7，实际可利用范围覆盖16.0至17.4，利用CVE-2025-43529和CVE-2024-27834窃取iOS Cookie；Class B针对iOS 18.5，使用疑似商业监控供应商开发的DarkSword工具链，经RCE、沙箱逃逸和权限提升后收集短信、iMessage、邮件索引、语音信箱、WhatsApp和Telegram数据库、钥匙串密码与令牌、Wi-Fi PSK、联系人、通话记录、日历、笔记、Safari历史与Cookie、位置缓存、健康数据、照片库和iCloud Drive等[1]。The Record称，该链可提取消息、邮件、密码、联系人、照片、位置历史及WhatsApp、Telegram信息；DarkSword此前曾被其他威胁行为体用于沙特、土耳其和马来西亚的行动[2]。Class C针对Android Chrome 139至145版本（明确排除143），利用CVE-2026-3910和CVE-2025-27038，投递被称为AndroSnitch的载荷，收集Chrome的Cookie、登录数据、历史记录及Wi-Fi配置文件；若检测到三星Galaxy S25 Ultra（SM-S938B）则停止利用[1]。

UltimateFingerprinter本身也值得注意：其被附加到约2.3MB的AngularJS压缩库中，死代码约占98%，可能意在规避大语言模型分析或伪装合法性；它通过61个收集器构建394个JSON字段，但除屏幕宽高和触控点等基本检查外，指纹几乎不影响投递，收集目的仍不明确[1]。

四、归因：技术重叠与受害者画像指向APT29

Sekoia的归因依据包括技术重叠、运营模式、受害者分布和基础设施。受影响网站分布于美国、乌克兰、捷克和保加利亚，受害者集中于欧洲和美国，尤其聚焦乌克兰，与俄罗斯利益一致；攻击者控制域名分散于多个托管商，类似APT29既往基础设施模式；被入侵的捷克极右翼运动网站也符合其针对欧洲政党的历史[1]。Google TAG向Sekoia确认，该行动框架与2024年APT29针对蒙古政府网站的水坑行动相似，两者目标均为Cookie窃取，但2024年行动使用硬编码过滤器针对特定网站，本次则无此类过滤，收集浏览器中的任何Cookie，部分链还获取完整设备数据[1]。Google TAG曾称2024年利用的漏洞与NSO Group、Intellexa等商业监控供应商相关，但不清楚APT29如何获得；Sekoia分析支持漏洞来自第三方的判断：Class A投递主机仅过滤iOS 16.7/16.7.10，而利用实际可覆盖16.0至17.4，这种不匹配可能说明操作者复用了利用链而未调整投递条件[1]。此外，合作CERT发现某直接入侵网站后端文件留有另一恶意活动痕迹，匹配2025年APT29水坑私有报告的IOC，可能系未清理或误注入遗留组件[1]。

五、最新进展、影响与未来展望

Sekoia表示正与受影响国家CERT协调，支持受害者识别并评估干扰水坑基础设施的方案，并感谢CERT-UA合作及Google TAG协助识别漏洞和相关CVE。报告未公开投递主机、外泄主机、YARA规则及被入侵网站细节；相关IOC和样本仅在国家CERT或执法机构请求下以TLP:AMBER共享[1]。The Record指出，Sekoia尚未确定有多少手机被成功入侵、攻击者获取了多少信息，但正在与相关应急响应团队合作识别潜在受害者并探索破坏攻击者基础设施[2]。

这起行动最值得警惕之处，是国家级行为体持续复用商业监控供应商的移动漏洞利用框架。Sekoia评估，DarkSword等打包化n-day利用链降低了开展高级移动利用的成本和技术门槛；长期看，此类漏洞利用在国家背景入侵组织中的扩散和复用可能更频繁[1]。对个人和组织而言，及时更新iOS、Android和Chrome等软件仍是关键防线；对CERT和执法机构而言，需借助有限共享的IOC开展受害者排查和基础设施干扰。该事件也表明，水坑攻击不再只依赖直接入侵高价值网站，第三方分析脚本等供应链环节可在一周内将风险扩散至数千网站，移动端“无需交互”的窃密风险不容低估。

参考文献

[1] Sekoia TDR. Poisoned Source: APT29 watering holes target mobile devices with n-day exploits[EB/OL]. Sekoia Blog.https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits, 检索日期：2026-11-06.

[2] Antoniuk D. Russian state-linked hackers target iPhone, Android devices in zero-click espionage campaign[EB/OL]. The Record, 2026-11-06.https://therecord.media/russia-hackers-smartphone-cyberattacks, 检索日期：2026-11-06.