俄羅斯駭客APT29發動大規模水坑式攻擊，竊取iOS與Android裝置帳密及資料

資安公司Sekoia於11月4日揭露大規模水坑式攻擊活動Poisoned Source，攻擊者鎖定iOS與Android行動裝置使用者，透過入侵合法網站、架設偽冒網站，以及第三方服務供應鏈攻擊散布惡意JavaScript，再依據受害者的作業系統與瀏覽器版本，投遞不同的漏洞利用鏈。Sekoia研判，此次活動很可能是俄羅斯駭客組織APT29所為。

這波攻擊主要採用3種入侵途徑，包括直接竄改合法網站的JavaScript程式碼、架設反向代理網站冒充知名網站，以及入侵烏克蘭網站分析服務Plerdy的SEO Tracker。攻擊者曾於2026年8月27日至9月3日入侵Plerdy的分析追蹤程式，使數千個使用該服務的網站及其使用者曝露於攻擊風險，其中多數網站位於烏克蘭，也包括軍事、特種部隊及軍事裝備相關網站。一旦使用者瀏覽遭入侵的網站，惡意JavaScript便會載入名為UltimateFingerprinter的程式，收集瀏覽器、作業系統，以及裝置資訊，再將資料傳送至攻擊者控制的伺服器，以決定投遞對應的漏洞利用鏈工具。

漏洞利用鏈根據作業系統也有3種，分別鎖定iOS 16.7、iOS 18.5，以及Android版Chrome 139至145版。這些被利用的漏洞包括CVE-2025-43529（透過漏洞利用套件DarkSword觸發）、CVE-2024-27834、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510、CVE-2025-43520、CVE-2026-3910及CVE-2025-27038，全部都是已公開且已完成修補的漏洞。值得留意的是，APT29並未使用零時差漏洞，因此Sekoia呼籲用戶，應儘速更新這些行動裝置的作業系統與瀏覽器，以降低相關風險。