APT29 劫持网站分析脚本，向 iOS 和 Android 用户投放漏洞攻击

近日，网络安全研究机构 Sekoia 披露，俄罗斯背景的黑客组织 APT29 正在利用被入侵的网站和第三方 JavaScript 分析脚本，对 iOS 和 Android 用户发起攻击。

此次行动中，攻击者通过劫持合法网站、搭建仿冒网站，以及篡改第三方网站分析服务 Plerdy 的 JavaScript 脚本，将恶意代码植入正常网页访问流程。用户只需访问受影响的网站，就可能触发后续攻击，无需主动下载或运行恶意文件。

研究人员发现，攻击者利用多个已公开的移动端漏洞，根据用户设备类型和浏览器版本投放不同的漏洞利用程序，最终窃取浏览器 Cookie、Wi-Fi 密码及其他敏感信息。

Sekoia 研究团队发现，攻击者曾于 2026 年 8 月 27 日至 9 月 3 日期间入侵乌克兰网站分析服务 Plerdy，并篡改其 JavaScript 文件：

a.plerdy[.]com/public/js/click/main.js

由于大量网站引用了 Plerdy 的分析脚本，攻击者只需控制这一第三方资源，就能将恶意代码传播给访问相关网站的用户。

除此之外，攻击者还采用了两种方式扩大攻击范围：

• 入侵合法网站： 修改网站模板或 JavaScript 文件，直接植入恶意代码。

• 搭建仿冒网站： 注册与真实网站相似的域名，通过反向代理转发网页内容，并在返回页面中注入恶意脚本。

研究人员发现，部分受影响网站涉及军事、国防及政府相关领域，受害者分布在乌克兰、美国及欧洲多个国家和地区。

此次攻击的核心在于根据访问者的设备环境选择漏洞利用链。

整体攻击流程如下：

• 用户访问被入侵的网站或加载遭篡改的第三方脚本。

• 恶意 JavaScript 收集设备类型、浏览器版本等信息。

• 攻击者根据设备环境，向 iOS 或 Android 设备投放对应漏洞利用程序。

• 利用成功后，尝试窃取浏览器 Cookie、Wi-Fi 密码及其他设备数据。

研究人员将其中负责设备指纹识别的脚本称为 UltimateFingerprinter。

值得注意的是，此次行动并非单纯针对某一个移动操作系统，而是同时覆盖 iOS 和 Android，体现出攻击者针对不同移动平台部署多套漏洞利用链的能力。

报告还提到了 DarkSword，这是一套与商业监控软件供应商相关联的 iOS 漏洞利用工具包。

研究人员发现，此次攻击使用的部分漏洞利用框架与此前披露的商业监控软件技术存在关联。

此外，Sekoia 还与 Google Threat Analysis Group（TAG）分享了相关发现。Google TAG 确认，此次行动使用的框架与 2024 年一场被归因于 APT29、针对蒙古政府网站的水坑攻击存在技术相似性。

研究人员认为，攻击者正在复用已有的移动端漏洞利用能力，并将其应用于新的攻击活动。

综合攻击基础设施、技术特征、受害者分布及历史活动等线索，Sekoia 以中高置信度判断，此次攻击活动与 APT29 有关。

此次事件也再次凸显了第三方 JavaScript 供应链的安全风险。一个被广泛引用的第三方脚本一旦遭到劫持，就可能成为攻击大量网站访问者的入口。

针对类似风险，企业和网站运营者应重点做好以下防护：

• 管理第三方脚本： 定期梳理外部 JavaScript 依赖，及时移除不必要的第三方资源。

• 加强完整性校验： 对适用的静态资源使用 SRI（Subresource Integrity）机制，防止资源被未经授权地篡改。

• 及时修复漏洞： 更新 iOS、Android 及浏览器版本，降低已公开漏洞被利用的风险。

• 监测异常行为： 关注未知域名脚本加载、异常外联及敏感数据外传行为。

• 保护会话凭证： 加强 Cookie 和会话管理，发现异常时及时撤销相关会话。

此次 APT29 相关攻击活动将网站入侵、第三方脚本劫持与移动端漏洞利用结合起来，使普通网站访问成为移动设备遭受攻击的潜在入口。

对于企业而言，安全防护不能只关注自身网站和服务器，还应将第三方组件、外部脚本依赖及移动终端纳入整体安全管理体系。

参考来源： Sekoia TDR，《Poisoned Source: APT29 watering holes target mobile devices with n-day exploits》