資安公司 Sekoia 在 11/4 公布一起大規模「水坑攻擊」：研究人員以中高度信心判斷，這與俄羅斯對外情報局（SVR）旗下的 APT29（又稱 Midnight Blizzard、Cozy Bear）有關。攻擊者透過被植入惡意 JavaScript 的合法網站、仿冒網域與被入侵的烏克蘭分析服務 Plerdy，讓訪客在不需點擊的情況下，被已修補的 iOS 與 Android 舊漏洞（n-day）攻擊。同一天，美國 CISA 也把其中一個 iOS 漏洞 CVE-2024-27834 列入已遭利用漏洞（KEV）清單。Sekoia 強調：作業系統保持最新的使用者不會受這些攻擊影響。
重點
| 項目 | 內容 |
|---|
| 發現時間 | Sekoia 威脅偵測與研究團隊（TDR）於 2026 年 10 月中旬發現 |
| 歸因 | 以「中高度信心」連結 APT29；依據包括某個被入侵網站上的 2025 年 APT29 水坑行動痕跡、與 2024 年針對蒙古政府網站活動的相似處（Google TAG 曾確認），以及以烏克蘭為中心的受害名單 |
| 三種感染管道 | (1) 直接在合法網站注入 JavaScript；(2) 類中間人（AiTM）仿冒網域，作為反向代理複製 america250.org 與倫敦 Raffles London at The OWO 飯店網站；(3) 供應鏈攻擊烏克蘭網站分析服務 Plerdy |
| Plerdy 受影響期間 | 2026/8/27 至 9/3，約一週；被注入的追蹤腳本會在數量龐大的網站上執行（見下方「來源說法差異」） |
| 已知被入侵網站類型 | 烏克蘭天然氣生產公司、美國化工產業協會、歐洲極右翼政黨、保加利亞軍事相關單位，以及一間澳洲診所等 |
| 共同行為 | 惡意程式碼先收集瀏覽器與裝置資料，再依手機與瀏覽器版本提供對應的漏洞鏈；Sekoia 稱 payload 在外傳資料後不會在裝置上留存 |
三條漏洞鏈
| 目標 | 使用的漏洞 | 目的 |
|---|
| iOS 16.7 | CVE-2025-43529 搭配 CVE-2024-27834（繞過 Pointer Authentication） | 竊取 cookie，可能被用來重用已登入工作階段、進入網頁信箱等服務 |
| iOS 18.5 | 以 DarkSword 漏洞套件為基礎，使用 CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510、CVE-2025-43520 | 幾乎全面竊取：簡訊、iMessage、WhatsApp、Telegram 資料、Keychain 密碼、位置、健康資料與照片（Help Net Security 轉述 Sekoia） |
| Android（Chrome 139–145，143 除外） | CVE-2026-3910（Chrome）搭配 CVE-2025-27038（Qualcomm Adreno 圖形驅動） | 以 AndroSnitch 竊取 Chrome cookie、已存帳密、瀏覽記錄與 Wi-Fi 密碼 |
CISA KEV 與修補版本
- CISA 在 11/4 將 CVE-2024-27834（Apple 多項產品的不當驗證漏洞）列入 KEV，理由是有主動利用的證據；CISA 公告並未說明攻擊者是誰，也未連結到 Sekoia 的報告（Help Net Security 指出）。
- 此漏洞已在 2024 年 5 月修補：Safari 17.5、iOS／iPadOS 16.7.8、iOS／iPadOS 17.5、macOS Sonoma 14.5、tvOS 17.5、watchOS 10.5。CVE 紀錄描述為「具任意讀寫能力的攻擊者可能繞過 Pointer Authentication」。
- 依 Help Net Security，美國聯邦文職機關須在 11/18 前完成修補。
來源說法差異與尚待釐清
- 單一研究來源：整起行動的細節（水坑網站、漏洞鏈、歸因）都來自 Sekoia 的報告；Help Net Security 與 SecurityWeek 皆為轉述，未見獨立廠商複現，因此歸因屬研究團隊的判斷，不是官方認定。
- Plerdy 影響規模：Help Net Security 寫該腳本在「數千個網站」上執行，SecurityWeek 寫「數百個網站」曝險一週，兩者不一致，這篇不採用單一數字。
- 攻擊對象：Sekoia 表示不清楚攻擊者是鎖定特定網站訪客，還是想廣泛感染未修補的手機；部分網站（例如澳洲診所）沒有明顯戰略價值，團隊以「低信心」推測可能用來針對特定個人。
- Zelensky 曾於 10/14 入住 Raffles London 的說法，來自 Sekoia 引用的公開來源，本站未獨立查證。
對你的實務建議
企業／IT 管理者
- 盤點公司與委外廠商人員使用的 iPhone、iPad、Mac 與 Android 手機，找出仍停在 iOS 16.7.x、iOS 18.5 或舊版 Chrome 的裝置，優先更新或汰換。
- 透過 MDM 設定作業系統與瀏覽器最低版本；無法更新的舊裝置，不要讓它存取公司信箱與內部系統。
- 若有從手機登入 Microsoft 365 或其他雲端服務，檢查是否有異常登入、陌生工作階段；必要時撤銷工作階段並重設密碼（一般性建議）。
- 檢查自家網站與第三方腳本（分析、廣告、聊天元件）的來源與完整性，並注意本案是以被入侵的第三方分析腳本散布。
一般用戶
- iPhone、iPad 更新到目前可升級的最新 iOS／iPadOS；舊機型至少更新到 iOS 16.7.8，Android 用戶請更新 Chrome 與系統安全性修補。
- 照 Sekoia 的說法：系統保持最新，就不會受這些已修補漏洞的攻擊；請開啟自動更新。
- 手機若很久沒更新、又曾瀏覽可疑網站，可考慮登出重要服務後重新登入，並檢查帳號的登入紀錄（一般性建議）。
資料來源
發表留言