APT29 关联黑客劫持网页分析脚本，投递 iOS 与 Android 漏洞利用载荷
BestBlog编程类文章 · 软件开发
📌 一句话摘要 APT29 发动水坑攻击，通过劫持网页分析脚本，投递针对 iOS 与 Android 的 N-day 漏洞利用链，窃取浏览器 Cookie、Wi-Fi 密码及移动设备全量数据。 📝 详细摘要 俄罗斯关联威胁组织 APT29 发动大规模水坑攻击活动，代号 Poisoned Source。攻击者通过入侵合法网站、仿冒域名以及针对 Plerdy SEO Tracker 的供应链攻击，向 iOS 和 Android 用户投递恶意载荷。针对 iOS 用户，加载器引导至 DarkSword 漏洞利用工具包，窃取 Cookie 与设备数据；针对 Android 用户，利用 CVE-2026-3910 与 CVE-2025-27038 实现远程代码执行，投递 AndroSnitch 窃取 Chrome 数据与 Wi-Fi 密码。该攻击最终将窃取的数据发送至 ad.starx-net.com:8881/telemetry/v12 端点。研究人员指出，APT29 持续复用商业监控厂商（CSV）的移动漏洞利用框架，如 DarkSword 和 Coruna，降低了开展高级移动漏洞利用的成本与技术门槛。 💡 主要观点 APT29 发动水坑攻击，代号 Poisoned Source 攻击者通过入侵合法网站、仿冒域名以及针对 Plerdy SEO Tracker 的供应链攻击，向 iOS 和 Android 用户投递恶意载荷，目标包括化工企业官网、极右翼政党官网、军事相关网站等高价值目标。 iOS 与 Android 漏洞利用链窃取用户数据 针对 iOS 用户，加载器引导至 DarkSword 工具包，窃取 Cookie 与设备全量数据；针对 Android 用户，利用 CVE-2026-3910 与 CVE-2025-27038 实现远程代码执行，投递 AndroSnitch 窃取 Chrome 数据与 Wi-Fi 密码。 攻击数据发送至控制端点 三类攻击窃取的数据都会发送至 ad.starx-net.com:8881/telemetry/v12 端点，Android 攻击链还包含检测逻辑，通过型号标识符判断目标设备是否为三星 Galaxy S25 Ultra。 APT29 持续复用商业监控厂商漏洞利用框架 研究人员指出，APT29 持续复用 DarkSword 和 Coruna 等商业监控厂商（CSV）的移动漏洞利用框架，降低了开展高级移动漏洞利用的成本与技术门槛。 💬 文章金句 注入的 JavaScript 代码会收集浏览器与设备属性，随后投递基础设施会针对 iOS 或 Android 平台下发对应版本的 N-day 漏洞利用链。 这次行动也证实，国家背景入侵组织仍在持续复用商业监控厂商（Commercial Surveillance Vendors，CSV）的移动漏洞利用框架，比如 DarkSword。 只要打开页面，设备就可能被入侵，不需要点击任何内容，不需要安装任何应用，也不会弹出警告。 📊 文章信息 AI 初评： 88 来源： FreeBuf 作者： FreeBuf 分类： 软件编程 语言： 中文 阅读时间： 13 分钟 字数： 3147 标签： 编程与工程 , 安全 , 移动开发 , Apple , APT29 阅读完整文章