CNCERT披露境外自治域DNS劫持事件：虚假路由将多省用户导流至博彩网站

攻击者利用美国公司注册的AS 402425宣告虚假路由，篡改DNS解析数据，用户设备未感染恶意软件即被重定向至博彩页面。CNCERT已公布19个恶意IP地址并发布三层防范建议。

国家互联网应急中心（CNCERT）10月20日发布调查报告，确认近期中国多个省份发生的用户访问请求异常跳转至博彩网站事件，系境外自治域AS 402425实施的恶意路由劫持与DNS篡改所致。与传统的终端病毒感染不同，此次攻击发生在互联网基础设施层面：攻击者伪造了互联网的“路标”与“电话簿”，在用户设备毫无察觉的情况下将其引导至恶意目的地。

攻击链条：从虚假路由到DNS篡改

根据CNCERT披露的调查细节，攻击分为两个阶段。

第一阶段是流量劫持。 攻击者在互联网路由注册库中注册了虚假的源地址前缀和自治域集合，利用其控制的AS 402425发布虚假源地址前缀和虚假短路径，对中国境内部分流量实施劫持。这一手法利用了边界网关协议（BGP）中“最长前缀匹配”的规则——更具体的路由前缀可以覆盖范围更广的合法路由，从而将流量从正常路径“拐走”。

第二阶段是DNS数据篡改。 流量被劫持后，攻击者对其中的域名解析数据进行修改，采用两种手法：一是直接将DNS解析值替换为博彩网站地址；二是将解析值指向攻击者控制的恶意DNS服务器，用户向该服务器请求解析时，返回的同样是博彩网站地址。这意味着，即便用户输入的是正确的域名，最终打开的页面也已被导向攻击者指定的目标。

攻击溯源：美国公司注册的自治域

技术测量将域名篡改的位置锁定在AS 402425之内。该自治域由美国公司QOREXA LABS于2026年4月9日在美洲互联网号码注册管理机构（ARIN）注册，该公司官网显示其经营比特币相关业务。

CGTN在报道中特别指出，技术测量虽然将篡改行为定位在该网络内，但这本身并不直接证明该公司的意图。换言之，AS 402425可能系被攻击者利用或租用，而非注册方直接策划了此次攻击。

CNCERT报告列出了域名篡改后指向的19个恶意IP地址，分布于三个主要网段：112.121.184.x至112.121.185.x、117.55.193.x以及43.230.161.x。

防范建议：从注册机构到普通网民

CNCERT针对不同主体提出了分层级的处置建议。

对互联网号码资源管理机构与IP交易平台 ，建议及时核查并注销AS 402425等恶意自治域资源，从源头切断攻击者的路由宣告能力。

对网络运营商 ，建议在边界路由设备上配置路由过滤策略，对路由宣告进行校验，拒绝接收并删除包含AS 402425的恶意路由。

对互联网平台 ，建议加强监测核心业务域名的解析IP变化、DNS应答报文异常以及路由路径异常变更，一旦确认发生劫持，及时向上游运营商申告，要求处置异常路由宣告、切断劫持链路。

对普通网民 ，CNCERT给出了三条操作性建议：使用经过验证的可信公共DNS服务，避免使用来源不明的DNS；遇到页面跳转至恶意网站时，不要点击页面内任何按钮或链接，不要下载页面提供的程序，立即关闭网页并清理浏览器缓存；保持操作系统与浏览器更新至最新版本，开启系统安全防护软件，防范跳转页面可能附带的恶意脚本或钓鱼攻击。

路由安全的全球性警示

此次事件并非孤例。CGTN的报道指出，BGP路由事件每月发生数百起，其中大多数并未被企业安全团队察觉。2024年，一起涉及Cloudflare 1.1.1.1服务的BGP劫持事件因巴西两家运营商的配置错误，影响了70个国家的300多个网络，同样未触发企业安全告警。

报道进一步指出，降低此类风险的技术工具已经存在。资源公钥基础设施（RPKI）允许网络以密码学方式验证某个自治域是否有权宣告特定前缀，互认路由安全规范（MANRS）则提供了基线实践标准。然而，这些机制的广泛采纳仍取决于各网络与注册机构的执行意愿。路由安全本质上是全球供应链问题，当任何一个环节的信任被滥用，影响的可能是任意国家的用户。

截至发稿，QOREXA LABS方面尚未就CNCERT的报告作出公开回应。AS 402425的路由宣告状态及后续处置进展，仍有待相关互联网注册机构的进一步动作。

本文来源：中国网信网，阿里研究院

主笔专家：方滨兴

责任编辑：编辑部-方一诺

最后更新时间：2026年10月21日