法国安全公司 Sekoia 在 10 月中旬发现并命名了一条代号 Poisoned Source 的水坑攻击链：与 APT29 关联的攻击者同时用三种方式投毒——入侵正规网站注入恶意 JavaScript、搭建仿冒域名、以及对乌克兰网页统计服务 Plerdy SEO Tracker 做供应链攻击——最终向访问者的 iOS 与 Android 设备下发对应平台的 N-day 漏洞利用链，窃取浏览器 Cookie、Wi-Fi 密码乃至整机数据。
这条链最值得警惕的地方不是 APT 的技战术，而是「打开网页就中招」这个攻击形态正在被低成本复制。
事件概述
Sekoia 研究员 Amaury-Jacques Garçon 与 Félix Aime 在给媒体的技术报告中给出三条投毒路径：
- 入侵正规网站，在页面里注入恶意 JavaScript
- 搭建仿冒域名，伪装成美国、乌克兰、捷克、保加利亚的高知名度站点，例如
america250[.]holiday - 供应链投毒：2026 年 8 月 27 日至 9 月 3 日期间，攻击者在
a.plerdy[.]com/public/js/click/main.js里植入恶意代码
已确认被入侵的站点包括美国化工行业的一家大型行业协会、一个欧洲政党站点，以及一个保加利亚军事相关网站。从站点选择看，这不是广撒网，更像精心挑选的水坑——围猎的是特定访客，而不是随机路过的人。
技术细节
三条路径最终都落到同一个 JavaScript 加载器：先采集浏览器与设备属性，判断系统版本与浏览器内核，再下发对应的利用链。三条链的分工很清楚：
- Class A：针对 iOS 16.7，利用
CVE-2025-43529与CVE-2024-27834，投放 JavaScript 恶意代码窃取 Cookie - Class B：针对 iOS 18.5，走完整的 DarkSword 利用链（
CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510、CVE-2025-43520），目标是整机数据：短信与 iMessage、Apple Mail 索引库、语音留言、WhatsApp 与 Telegram 数据库、iCloud 钥匙串、Wi-Fi 密码、通讯录、通话记录、Safari 历史与 Cookie、照片，以及健康、日历、备忘录和 iCloud Drive 里的内容 - Class C：针对 Chrome 139 至 145（明确排除 143，原因未公开），利用
CVE-2026-3910与CVE-2025-27038完成远程代码执行、沙箱逃逸与提权，投放 AndroSnitch 收集 Chrome 数据与 Wi-Fi 密码
Android 这条链不做持久化，用完即走；数据统一外传到 ad.starx-net[.]com:8881/telemetry/v12。还有个细节挺有意思：利用前会检查设备型号标识，如果目标是三星 Galaxy S25 Ultra（SM-S938B）就直接放弃——通常意味着攻击者知道这条链在该机型上会崩，或者该机型上存在他们不想碰的环境。
AndroSnitch 的命名来自它与 ANDROSNATCH 的相似性。后者是 Google 在 2024 年 8 月记录的 Chrome Cookie 窃取载荷，当时同样被归到 APT29 的水坑行动里，针对的是访问蒙古政府网站的 Android 用户。
影响评估
对普通站点运营者，这件事的意义不在「APT29 打过来了」，而在攻击基础设施的复用方式：DarkSword 这类商业监控厂商的移动端利用框架，已经被打包成 N-day 套件，谁拿到都能用，技术门槛降到了「会改 JavaScript 就行」。
同一时期，iVerify 与 Report URI 还披露了 DarkSword 的 P7 变种通过广告位和过期域名分发——后者被称为 DeadTag 行动，涉及 660 多个重新注册的过期域名。这些域名背后是大量仍在加载的旧统计与广告标签，用户只要打开页面就中招，不需要点击任何东西，也没有任何提示。
修复建议
- iOS 设备升级到最新版本。Class A 与 Class B 打的都是旧版本，16.x 与 18.5 在射程内；无法升级的老设备别用来登录重要账号
- Chrome 升到 145 之后，同时更新 Android 系统补丁。
CVE-2025-27038属于芯片组层面的问题，只升浏览器不够 - 如果站点引用了第三方统计、广告、客服 JavaScript，做一次供应链复核：确认脚本来源域名没变、文件哈希没变，能自托管就自托管
- 服务器与终端侧对
a.plerdy[.]com、ad.starx-net[.]com以及相关仿冒域名做 DNS 与出站拦截，并在日志里回查 8 月底以来的访问记录 - 面对「打开就中招」的利用链，浏览器及时打补丁与网络层隔离是仅有的有效防线，移动端 EDR 覆盖不到这个面