11月5日，据海外媒体报道，网络安全公司sekoia近日发布一份最新研究报告，全面揭露了一起针对android及iphone用户的移动设备定向攻击行动。此次攻击借助已被黑客控制的网站以及高度仿真的钓鱼页面展开。在android端，攻击者无需诱导用户点击恶意链接、下载安装未知应用或主动授予权限，仅需诱使目标在存在安全缺陷的旧版chrome浏览器中访问受感染网页，即可完成入侵。
报告指出，针对Android系统的攻击采用多阶段渗透策略：第一阶段利用Chrome浏览器的一个已知漏洞（CVE-2026-3910），实现在浏览器环境内执行任意代码；第二阶段则进一步利用高通Adreno GPU驱动中存在的安全缺陷（CVE-2025-27038），绕过Chrome沙箱机制，从而获取对设备更底层的操作权限。由于Adreno图形处理单元广泛应用于高通骁龙平台，因此搭载该系列芯片的安卓手机成为主要受害对象。值得注意的是，此次攻击仅影响Chrome 139至145版本（不含143版），跳过该版本的具体原因目前尚未公开说明。
一旦设备成功被攻陷，攻击者便会部署一款被Sekoia命名为“AndroSnitch”的恶意程序。该程序可窃取Chrome浏览器中存储的Cookie数据、已保存的账号密码、完整浏览历史记录，以及设备本地保存的Wi-Fi配置文件——其中包含用户曾连接过的所有无线网络密码。被盗取的Cookie尤其危险，因其允许攻击者直接以合法身份登录用户已认证的各类在线账户。此外，研究人员发现，该Android漏洞利用代码在识别到三星Galaxy S25 Ultra设备时会自动终止运行。至于其他是否还有特定机型或Android系统版本被排除在外，Sekoia并未在报告中予以明确披露。
谷歌手机
攻击者通过多种渠道触达目标人群：包括向正常运营的网站注入恶意脚本、构建与真实站点几乎一致的镜像页面，并且还成功入侵了一家乌克兰网络分析服务商。该服务曾在8月27日至9月3日期间，被数千个主要位于乌克兰境内的网站所使用。目前已确认的仿冒网站包括一个假冒的America250官网副本，以及一个模仿伦敦某高端酒店的虚假页面——该酒店地理位置毗邻英国政府办公区域。这些伪造网页中的恶意脚本会对每位访问者的终端设备进行指纹识别与环境检测，随后动态推送匹配其系统版本与浏览器类型的漏洞利用载荷。
Sekoia在报告中指出，本次攻击活动极有可能由APT29组织实施，该组织长期被认为与俄罗斯对外情报局（SVR）存在关联。从攻击目标来看，其重点聚焦于外交人员及与乌克兰冲突相关的关键岗位人员，而非泛泛意义上的普通移动用户。与此同时，iOS设备同样未能幸免：一条攻击链可在iOS 16至17.4系统上盗取浏览器Cookie；而另一项名为DarkSword的漏洞则能在运行iOS 18.5的设备上提取短信、照片及系统密码等敏感信息。
需要特别强调的是，本次攻击所依赖的所有漏洞，在实际被用于实战之前均已由相关厂商完成修复。为保障设备安全，建议用户立即前往Google Play商店更新Chrome至最新版本，并可通过Chrome应用内菜单路径“设置 > 关于Chrome”核查当前版本号是否高于145。同时，务必及时安装手机厂商发布的最新安全补丁，因为高通GPU驱动相关的修复内容正是通过每月例行安全更新进行分发。
