在多数人的印象里，国家级王牌情报机构出手，理应挥舞价值数百万美元的零日漏洞，悄无声息地在目标手机里潜伏数年。2026 年 11 月 4 日，安全公司 Sekoia 发布报告《Poisoned Source: APT29 watering holes target mobile devices with n-day exploits》，戳破了这个滤镜。报告以中到高置信度将一起横跨 iOS 和 Android 的大规模水坑攻击归因于俄罗斯对外情报局旗下的 APT29 组织。最反常的地方在于，这群顶级特工在 2026 年 8 月底至 9 月初发起行动时，手里拿的全是半年前早就被官方修补、甚至被安全界公开拆解过的二手漏洞工具包。
幽灵镜像与三条收割流水线
攻击者没有费力去攻破高价值目标的官方网站服务器，而是用极低成本搭起了三张捕网。
第一张网是反向代理钓鱼。攻击者在 2026 年 5 月 19 日注册了 america250[.]holiday，用来实时镜像仿冒美国建国 250 周年官方庆典网站 america250.org（该机构成员包含跨党派议员、商界高管及至少一名特朗普政府前官员）。另一处镜像域名 theowo[.]club 则仿冒了伦敦顶奢酒店 Raffles London at The OWO。这家酒店紧邻英国国防部和唐宁街 10 号，公开报道显示乌克兰总统泽连斯基曾在 10 月 14 日访英期间下榻于此。这两个官方网站本身并未被攻破，但黑客通过反向代理在转发真实网页内容时，顺手往流量里塞进了恶意 JavaScript 脚本。
第二张网是直接篡改乌克兰顶级天然气生产商等合法网站。第三张网则是供应链投毒。攻击者入侵了服务数千个网站的乌克兰网页分析服务 Plerdy，其被篡改的统计脚本在 2026 年 8 月 27 日至 9 月 3 日期间处于活跃状态。
不论受害者从哪个入口踩进陷阱，迎面撞上的都是同一段 JavaScript 代码。脚本会先给访问者的浏览器和设备做指纹画像，随后通过 adsprism-stat[.]com、static.flux-telemetry[.]com 等分发节点下发对应的零点击漏洞利用链，最终把偷到的数据回传至 ad.starx-net[.]com:8881/telemetry/v12。整个过程不需要目标点击任何弹窗，三条攻击分支按系统版本精准分工：
| 攻击分支 | 目标系统与浏览器版本 | 串联的已知漏洞（CVE 编号） | 核心窃取目标 |
|---|---|---|---|
| Class A | iOS 16.7 | CVE-2025-43529、CVE-2024-27834 | 浏览器 Cookie |
| Class B（DarkSword） | iOS 18.5 | CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510、CVE-2025-43520 | 浏览器数据、Wi-Fi 密码、短信、照片、位置历史等全量数据 |
| Class C（AndroSnitch） | Android 端 Chrome 139 至 145（不含 143 版本） | CVE-2026-3910、CVE-2025-27038 | Chrome 浏览器数据与保存的 Wi-Fi 凭证 |
外媒初步报道时曾将三条通道混为一谈，实际上 DarkSword 是纯粹的 iOS 漏洞利用工具包，依赖 dyld 与 iOS 内核漏洞；针对 Android 设备的是另一条独立命名的 AndroSnitch 链条（其中 CVE-2025-14174 因涉及共享图形组件 ANGLE，也曾获得 Chrome 桌面端补丁）。
半年时间差里的降维狩猎
真正让我感到后背发凉的不是漏洞本身，而是这条攻击时间线暴露出的荒诞现实。
Google 威胁情报组早在 2026 年 3 月 18 日发布的《The Proliferation of DarkSword》报告中，就已经把 DarkSword 扒了个底朝天。这套工具包自 2025 年 11 月起就在野外活动，支持 iOS 18.4 至 18.7，完整包共有 6 个组件漏洞（除了本次 Class B 使用的 5 个，还包含一个针对早期目标 JavaScriptCore 初始代码执行的替代入口 CVE-2025-31277）。当时土耳其商业监控厂商 PARS Defense 的客户以及另外至少两个威胁组织都在用它。
苹果的反应不可谓不快。早在 2026 年 2 月 11 日，苹果就发布了 iOS 26.3，修补了 DarkSword 链条里最后一块拼图（CVE-2026-20700，dyld 指针认证绕过）；紧接着又在 3 月 24 日（并于 4 月 1 日扩大设备覆盖范围）专门发布了 iOS/iPadOS 18.7.7，用来拦截 DarkSword 的网页端攻击。
问题就出在这里。到 2026 年 8 月底 APT29 动手时，这批漏洞已经变成彻头彻尾的旧账。
顶级特工不再迷信天价新武器，因为对手的懒惰就是最好用的后门。
《孙子兵法》讲求避实而击虚。在现代网络战里，零日漏洞的采购与研发动辄数百万美元，且一旦曝光很快就会作废；反倒是政企高管、外交使团手里的私人或办公手机，经常因为担心兼容性、嫌重启麻烦或者缺乏强制管控，常年停留在半年前的旧版本。APT29 算过这笔经济账。既然商业监控市场流出的二手工具包就能炸开未更新的 iOS 18.5，何必浪费压箱底的零日漏洞？
- 结论.国家级 APT 的武器平民化与二手复用已成定局，防御方的补丁延迟窗口期正在直接转化为情报机构的低成本提款机。
放弃驻留只要钥匙的快闪战术
除了武器降级，这起案件还清晰展示了移动端间谍软件的另一个战术转向：不再追求持久化驻留。
按照安全机构 Lookout 的拆解，DarkSword 的作业模式是典型的打完就跑。一旦受害者手机中招，载荷会在几秒到几分钟内把 Safari Cookie、浏览历史、保存的 Wi-Fi 配置与密码、短信、照片、位置历史搜刮一空，打包外传后立刻自我清理，不在手机里留下一丝常驻木马。
为什么不留下长期监听？因为现代移动操作系统的沙盒与重启校验越来越严，驻留木马不仅开发成本高，还极易在设备重启后暴露。相比之下，偷走 浏览器 Cookie 是一本万利的买卖。正如 Broadcom 安全公告所指出的，拿到已认证会话的 Cookie 后，攻击者可以直接在云端复刻登录状态，接管受害者的办公邮箱与云盘账户，甚至直接绕过部分多因素认证（MFA）。而顺手牵羊拿走的 Wi-Fi 密码，又能为特工人员后续抵近酒店或办公楼开展近源渗透铺平道路。
十九世纪末铁路大亨们修筑干线时发现，与其花重金攻克沿途每一座私人庄园的堡垒，不如直接买断必经之路上的水站与道岔。今天的 APT29 干的是同一件事。他们不再死磕伦敦奢华酒店或美国庆典官网的服务器防线，而是用几十美元注册一个反向代理域名，或者污染一个像 Plerdy 这样的第三方统计脚本，守在流量的必经路口收过路费。
- 风险.针对政企与外交人员的鱼叉钓鱼已结合反向代理与零点击旧漏洞，只要终端系统落后一个版本，点开链接的几分钟内就会面临云端账号被接管与全量隐私裸奔。
对于苹果和 Google 而言，补丁发得再快，管不住停留在 iOS 18.5 或旧版 Chrome 上的终端也是徒劳。而对于那些经常出入伦敦白厅街周边酒店、或是忙于跨国政务的高价值目标来说，与其担心科幻电影里无孔不入的未知黑客帝国，不如现在就低头看一眼手机设置里的系统更新红点。那个被你顺手划掉的更新提示，才是克里姆林宫特工最仰仗的通行证。