安全灾难：越来越多的黑客开始利用iOS和安卓旧漏洞发起攻击 用户访问挂马网站就会被感染
内容提要
安全公司SEKOIA报告称，APT29利用DarkSword工具及旧版安卓、iOS漏洞，篡改Plerdy统计脚本，对数千网站批量挂马，用户访问即被无感植入后门，导致Cookie、凭证、聊天数据库等泄露。漏洞虽已修复，旧系统用户仍面临风险，应及时更新iOS和Chrome。
延伸解读
攻击模式转变：从定向到广撒网
文章指出，以往针对iOS设备的攻击通常是小范围、有针对性的，但DarkSword系列工具让攻击者能对数以千计的网站批量挂马，用户访问即可能中招。这种转变意味着普通用户不再因为“不是高价值目标”而安全，攻击面从特定人群扩大到所有未更新系统的设备使用者。
供应链式投毒：统计脚本成突破口
攻击者篡改了乌克兰网站分析服务Plerdy的统计脚本，导致数千个使用该工具的网站被挂马。这提醒网站运营者，第三方脚本是安全链条中的薄弱环节，即使自身网站安全，引入的外部统计、广告等脚本也可能被利用来向访客投毒。
旧系统风险：漏洞已修复但未更新仍可被利用
文章强调，相关漏洞苹果和谷歌早已修复，但很多用户长期停留在旧版本iOS或Chrome for Android，导致漏洞仍可被利用。对于无法升级到最新大版本的iPhone，苹果仍向旧版本分支提供维护更新，用户应升级到最新修复版本，而非继续使用旧版。
无交互感染与数据泄露范围
恶意脚本无需用户交互即可植入后门，随后连接C2服务器收集敏感信息，包括浏览器Cookie、登录数据、WiFi凭证、WhatsApp和Telegram数据库、iOS钥匙串凭据、设备位置和照片等。这意味着一旦访问被挂马网站，用户可能在不察觉的情况下泄露多种账户和隐私数据。
Q&A
APT29黑客组织最近用什么工具攻击iOS和安卓用户？
APT29利用DarkSword漏洞利用工具，并针对Chrome for Android旧版本漏洞发起攻击。
用户访问被挂马的网站后会发生什么？
用户访问被挂马网站会激活恶意脚本，无需任何交互即可被植入后门程序，全程无感知。后门会连接C2服务器接收指令，收集敏感信息。
这次攻击主要针对哪些特定目标吗？
没有特定目标，黑客通过入侵网站、钓鱼网站和篡改统计脚本进行批量投毒，影响数千个网站，包括乌克兰天然气企业、美国化工行业协会、保加利亚军事网站等。
攻击者是如何篡改网站统计脚本进行批量挂马的？
攻击者在8月27日至9月3日期间篡改了乌克兰网站分析服务Plerdy的统计脚本，导致数千个使用该工具的网站被挂马。
iOS和安卓设备分别受哪些版本漏洞影响？
iOS 16.7版主要针对浏览器Cookie，iOS 18.5版使用DarkSword工具；Chrome for Android涉及139到145版但排除143版。
后门程序会窃取哪些敏感数据？
包括浏览器Cookie、登录数据、浏览记录、WiFi凭证、WhatsApp和Telegram数据库、iOS钥匙串凭据、设备位置和照片等。
如何避免被这类攻击感染？
及时更新系统和软件到最新版本。iPhone用户应升级到最新修复版本（如iOS 16.x或18.x的更新），Chrome for Android用户应通过Google Play或其他应用商店保持Chrome更新。
