2026年11月4日，网络安全公司Sekoia发布一项移动端水坑攻击调查：攻击者把恶意脚本放进合法网站、仿冒站点和第三方分析服务，再按访问设备投递iOS或Android漏洞链。研究团队以中高置信度把活动关联到APT29或其子组，但这一结论属于基于技术重合、操作方式、目标分布和基础设施作出的归因评估，并非所给材料中的政府认定。三条已恢复利用链全部依赖此前已经修补的漏洞，没有零日漏洞，也不适用于完全更新的设备。
三类投递入口跨越网站与分析服务
Sekoia把投递入口分为三类。第一类是在遭入侵的合法网站模板或现有脚本中追加JavaScript；第二类是注册与真实网站相似的域名，充当反向代理并在返回页面中插入代码；第三类是攻陷乌克兰Plerdy分析服务，把加载器写入其合法跟踪脚本。Plerdy组件受影响的时间为2026年8月27日至9月3日，共一周。该脚本被数千个网站加载，多数位于乌克兰，但网站加载脚本不等于每名访问者都收到漏洞链或被成功入侵。
报告涉及美国、乌克兰、捷克和保加利亚的基础设施。研究人员记录到乌克兰天然气生产企业、美国化工行业协会、捷克政治组织和保加利亚军事相关网站遭植入，并发现仿冒America250与伦敦Raffles at The OWO酒店的反向代理域名。Sekoia认为受害分布偏向乌克兰和美国，但直接受侵网站没有统一行业模式；澳大利亚一家诊所等对象也出现在调查中。目前公开信息没有给出成功感染设备、受害个人或被窃数据的总数。
设备指纹之后分发两类iOS链
访问者打开相关页面后，加载器会读取操作系统、浏览器版本和设备属性，再把指纹送往攻击者控制的投递端点；服务器通过基本设备条件决定是否返回后续代码。研究人员同时说，大部分字段对是否投递漏洞的影响很小，收集如此多设备属性的具体目的仍不清楚。报告没有证明这些指纹后来被怎样重复利用。
研究团队恢复的第一条iOS链针对iOS 16.7，组合两个已知漏洞，目标是读取浏览器及部分应用保存的Cookie。第二条链面向iOS 18.5，使用DarkSword框架的多个阶段，尝试获取短信、iMessage、邮件索引、WhatsApp与Telegram数据库、钥匙串凭据、位置、健康数据、照片和iCloud Drive等内容。这些项目是Sekoia对载荷能力的分析，不代表每项数据都已从每部设备成功外传。两条链使用的漏洞都在活动开始前由厂商修补。
Android链与APT29归因边界
Android链针对未修补的Chrome 139至145版本，但明确排除143版；Sekoia没有解释这一排除条件。链条先利用Chrome漏洞取得渲染进程代码执行，再利用Adreno驱动漏洞逃离浏览器沙箱，最终载荷尝试收集Chrome Cookie、已保存登录信息、浏览历史和Wi-Fi配置。研究人员还发现，代码检测到Samsung Galaxy S25 Ultra型号SM-S938B时会停止利用，但未说明原因。该链同样只使用已知、已修补漏洞。
Sekoia表示，它已与受影响国家的计算机应急响应团队合作，支持识别受害者并评估中断相关基础设施的方式。团队还把部分发现交给Google威胁分析小组；按Sekoia的转述，Google确认该框架与2024年一项归因APT29的水坑活动相似，两次活动都涉及Cookie窃取。所给材料中没有Google针对这次2026年活动单独发布的研究报告，因此该技术相似性只能按Sekoia的记录表述，不能改写成独立归因结论。
媒体核对不改变未知受害规模
Ars Technica的授权公开信息流于2026年11月4日22时26分49秒记录同一事件，标题概括为攻击者利用iOS与Android漏洞感染手机，短摘要称研究人员认为该组织可能获得克里姆林宫支持并寻找外交目标。本文未使用该媒体正文或图片。媒体摘要中的可能性措辞也不能扩大Sekoia报告的归因强度，或把外交目标写成所有受害者的共同身份。
目前能够确认的是三类投递路径、三条已恢复漏洞链及其已修补状态。Sekoia对APT29或其子组的归因为中高置信度评估，没有在所给材料中获得政府或另一份独立技术报告确认；Plerdy脚本覆盖数千网站，也不能推出数千网站的所有访客均被感染。报告没有公布成功入侵和数据外传数量、完整受害名单、活动终止日期或当前攻击基础设施状态。完全更新的iOS和Android设备不受这三条已恢复链影响，但这一结论不涉及报告之外的其他攻击工具。