2026-11-09 19:21:01 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

APT29 零点击偷走 iPhone 数据（CVE-2024-27834）

原创

红队安全圈
红队安全圈

红队安全圈

2026年11月5日 20:00
重庆

去阅读

30 秒看懂

影响范围 · iPhone / iPad（iOS 低于 17.5，16.x 低于 16.7.8）、macOS 低于 14.5、Safari 低于 17.5、Android Chrome 139 至 145

利用状态 · 已在野利用，零点击水坑链，不需要任何点击或授权

补丁状态 · 已修（2024 年 5 月）现在要做的只是升级，不是等补丁

两年前修好的洞，今天进了在野利用名单。真正的新消息不是漏洞，是有人把它打包成了流水线。

01 事情是什么

11 月 4 日，CVE-2024-27834 进了美国 CISA 的已知被利用漏洞目录，联邦机构要在 11 月 18 日之前处理完。这个洞的 CVSS 只有 5.5，2024 年 5 月苹果就发过补丁，按正常流程早该翻篇。

让它重新上榜的不是新补丁，而是新证据：它已经在野外被用，而且不是单独用。有人把它和另一枚 WebKit 远程代码执行漏洞串成一条零点击链，塞进被投毒的网站，访客打开页面就中。

02 为什么危险

现代 Apple 芯片上，光有内存读写权限已经不够用。控制流指针都带指针认证签名（PAC），攻击者能改内存，却造不出一个签名合法的函数指针，一旦伪造，进程直接崩，payload 也跑不起来。

CVE-2024-27834 干的就是拆掉这道门。它让攻击者在拿到任意读写之后伪造出合法指针，把只能看变成能执行任意 JavaScript。

整条链分两段：先用 CVE-2025-43529 在 WebKit 渲染进程里拿到执行权，再用 CVE-2024-27834 完成 PAC 绕过，剩下就是纯 JS 的活儿。

偷 Cookie 的写法很土，但有效。按 PID 挨个调用 sandbox\_container\_path\_for\_pid，让内核把每个 App 的容器路径写进自己控制的堆缓冲区；再 fopen 打开容器里的 Cookie 文件，确认文件头是 cook，再用漏洞自带的读原语把字节一位位读回 JS 字符串，拼成 JSON 发走。

被读取的位置就是这里：

/private/var/mobile/Containers

/Data/Application/

/Library/Cookies/

Cookies.binarycookies

没有弹窗，没有点击，没有描述文件。用户这边唯一的异常，是页面加载慢了一点。

03 三条链，偷的东西不一样

抓到的是三套按设备版本分发的链，没有一条含 0day，全部是早就打过补丁的 n-day。

A 链，iOS 16.7：CVE-2025-43529 加 CVE-2024-27834，只偷 Safari 和其他 App 的 Cookie。投放端只按 16.7 过滤，但代码实际覆盖 16.0 到 17.4，说明是拿别人的套件直接用，没改分发逻辑。

B 链，iOS 18.5：DarkSword 商用监控套件的五洞组合，RCE、PAC 绕过、两级沙箱逃逸、内核提权一条龙，目标是整机。短信、iMessage、邮件索引、WhatsApp 和 Telegram 数据库、钥匙串密码、Accounts3.sqlite、wifi\_passwords.txt、通讯录、通话记录、日历、备忘录、Safari 历史和相册，连健康数据和定位缓存都在清单里。

C 链，Android Chrome 139 到 145：CVE-2026-3910 拿渲染进程执行权，再用 Adreno 驱动的 CVE-2025-27038 逃沙箱，落地一个叫 AndroSnitch 的 shellcode，只拿 Chrome 的 Cookies、Login Data、History 和系统里的 WifiConfigStore.xml。检测到 SM-S938B 也就是 Galaxy S25 Ultra 就直接放弃，估计是没适配。

入口有三条：往正常网站模板里插脚本、注册仿冒域名做反向代理实时改 HTML（america250.holiday 和 theowo.club 两个高价值站点就这么被利用）、以及劫持乌克兰的 Plerdy SEO Tracker。最后一个最狠，8 月 27 日到 9 月 3 日整整一周，凡是引用这个统计脚本的站点全部变成投毒点，数千个网站，绝大多数在乌克兰，其中包含军队、特种部队和军工装备相关的站点。

中间那层指纹脚本也值得看一眼：文件 2.3MB，98% 是压缩过的 AngularJS 库，纯死代码。猜测是为了撑爆大模型的上下文窗口，让自动化分析读不完，顺便让它看起来像个正常的前端依赖。脚本里有 61 个采集器、394 个字段，canvas、WebGL、字体、传感器、USB、蓝牙、苹果私有特性全采了一遍，但真正影响投放的只有三个：屏幕宽高和触摸点数，数据不合理就直接返回空响应。

04 谁受影响

iPhone / iPad 版本低于 iOS 17.5，16.x 分支低于 16.7.8；macOS 低于 14.5；Safari 低于 17.5；Android 上 Chrome 139 到 145 且没更新；tvOS 低于 17.5、watchOS 低于 10.5。企业资产表里的备用机、测试机、产线平板，以及 MDM 覆盖不到的个人设备，同样在名单里。

前置条件就两个：设备没打补丁，用户访问了投毒站点。不需要账号，不需要授权。