移动安全 - 卫方智能网络安全资讯平台

APT29 水坑投毒统计脚本：iOS/Android 双端 N-day 链窃取整机数据

2026年11月5日作者卫方智能

Sekoia 披露 Poisoned Source 行动：APT29 关联攻击者入侵正规站点、搭建仿冒域名，并投毒 Plerdy 统计脚本，向 iOS 与 Android 下发 N-day 利用链，窃取 Cookie、Wi-Fi 密码、短信与整机数据。

2026年11月1日作者卫方智能

自研 App 被第三方市场重打包植入广告 SDK，用户看到的仍是你的图标。本文给出 APK 二次打包检测的可执行方案：证书指纹基线、CI 自动拦截、运行时校验与服务端比对，并说明 v1/v2 签名的绕过点。

2026年10月26日作者卫方智能

iVerify 披露的 P7 DarkSword 是 DarkSword 攻击链新变种，注入 SpringBoard 后每 15 秒向 C2 轮询指令，能导出钥匙串 JSON、备忘录数据库、照片与应用沙盒文件，并内置 imToken 钱包提取指令。影响 iOS 18.4 至 18.7。

2026年10月23日作者卫方智能

Signal 通话库 RingRTC 存在 CVSS 9.3 漏洞：对端可灌满通话状态机的事件队列，使本地挂断永远不被处理，麦克风继续向对方推流。2.72.0 已修复，细节与 PoC 于 10 月 20 日公开。

2026年10月9日作者卫方智能

Android App 加固实战教程：开启 R8 混淆与资源压缩并补齐保留规则，实现运行时签名校验、Root/模拟器检测、Frida 与调试器检测，并用 ptrace 自附加阻断注入，附反编译验证流程。

2026年10月9日作者卫方智能

Pwn2Own Ireland 2026 于 10 月 6 日至 9 日举行，首次设立的 AI 基础设施赛项两天内全线失守：LiteLLM 两度被攻破，OpenAI Codex、NVIDIA Dynamo、Chroma 与 Oracle 自治 AI 数据库相继沦陷，两日累计 77 个唯一零日。

2026年9月30日作者卫方智能

苹果紧急推送 iOS 26.7.1、macOS 26.7.1 与 15.8.1，修复 CoreGraphics 越界写入漏洞 CVE-2026-86950。苹果确认该漏洞可能已被用于极高复杂度定向攻击，CISA 已将其列入 KEV 目录，建议存量旧版设备立即升级。

2026年9月29日作者卫方智能

企业代理与失陷 CA 可解密 App 流量。本文给出 SPKI 指纹计算、Android network_security_config、OkHttp CertificatePinner、iOS NSPinnedDomains 配置及备用 pin 轮换与 mitmproxy 验证方法。

2026年9月17日作者卫方智能

谷歌在 9 月 Pixel 更新公告中披露 CVE-2026-58704：蜂窝调制解调器权限绕过逻辑错误可提权（CVSS 8.0），存在有限定向利用迹象。9月16日 CISA 将其列入 KEV，要求联邦机构 9月19日前修复。

2026年9月16日作者卫方智能

苹果 9 月 14 日发布 iOS 27、macOS Golden Gate 27 等全线更新，去重后修复 273 个唯一 CVE，其中蓝牙越界写入 CVE-2026-65414 评分 9.8，远程攻击者可致应用崩溃或执行任意代码，官方暂未发现在野利用。