CNCERT发布本周安全周报，境外自治域AS402425恶意篡改DNS风险警示

国家计算机网络应急技术处理协调中心发布本周网络安全周报，通报境外自治域AS402425存在恶意篡改DNS记录的攻击行为。DNS作为互联网的域名解析核心，一旦遭到篡改，用户访问域名时会被导向伪造站点，这类攻击隐蔽性强、波及范围广，国内政企单位与网站运营者需要重点排查，防范域名劫持带来的各类安全风险。

一、攻击原理：自治域路由劫持，篡改域名解析指向

AS402425属于境外自治域，攻击者通过路由劫持手段，对DNS解析记录进行恶意篡改。正常情况下，用户输入域名后，DNS服务器会返回目标网站真实IP地址。而在路由劫持攻击中，该自治域会伪造路由宣告，劫持域名解析流量，把域名解析结果替换为攻击者控制的IP。

不同于普通DNS投毒，基于自治域层面的劫持影响更大。它不局限于单台DNS服务器，可在网络路由传输环节直接篡改流量，普通用户很难自主察觉异常。用户输入正常域名，浏览器地址栏显示域名不变，但实际访问的已经是黑客搭建的仿冒网站。

二、直接危害：仿冒站点钓鱼，窃取账号与敏感信息

DNS劫持最主要的危害是钓鱼欺诈。攻击者搭建高仿页面，复刻企业官网、政务平台、网银、邮箱登录界面。不知情的用户输入账号密码、身份证、银行卡信息后，数据会直接提交至黑客服务器，造成个人或企业账号凭证泄露。

企业员工邮箱、后台管理账号一旦被盗，攻击者可登录业务系统，进一步窃取内部文档、客户资料。部分攻击者还会在仿冒页面植入恶意代码，在访客设备上下载木马程序，控制终端设备，横向渗透企业内网，扩大入侵范围。

三、衍生风险：业务中断、品牌信誉受损

DNS记录被篡改后，合法网站会出现无法正常访问的情况。用户访问域名跳转至错误页面，企业官网、线上业务系统服务中断，直接影响业务开展。电商、服务类企业会出现客户流失，产生直接经济损失。

同时仿冒网站发布虚假信息，会严重损害企业品牌形象。用户无法分辨真假站点，会质疑平台安全性，引发大量投诉。就算后续修复劫持问题，企业也需要花费大量成本进行用户澄清，消除事件带来的负面影响。如果仿冒站点发布违法信息，域名持有方还需要配合调查，承担额外处置成本。

四、识别难点：攻击隐蔽，常规检测容易遗漏

自治域层面DNS劫持存在较强隐蔽性。攻击不是持续触发，可能定向针对部分IP段用户，运维人员直接访问域名不一定能复现问题。常规网站可用性监控仅检测页面能否打开，很难识别解析结果被篡改。

很多中小网站运营者缺少路由监测能力，不关注自治域路由宣告异常，无法及时发现AS402425这类境外自治域发起的劫持行为。攻击流量分散，没有明显异常访问请求，传统WAF、防火墙难以拦截路由层级的劫持行为，容易错过告警信号。

五、安全处置建议与防范要点

根据CNCERT通报，相关单位需要核查域名解析路由路径，监测是否存在来自AS402425的异常路由宣告。优先使用权威可信的DNS解析服务，开启DNSSEC域名安全扩展，校验解析记录完整性，抵御DNS篡改劫持。

运维人员需要常态化监测域名解析结果，多节点、多运营商探测解析IP，建立异常解析告警机制。做好域名账号权限管控，保护域名注册后台，防止域名信息被恶意修改。一旦发现解析异常，第一时间隔离受影响业务，留存日志证据，及时上报CNCERT。

互联网域名体系是线上业务的基础，境外自治域路由劫持属于底层网络攻击，防范难度高于普通Web漏洞。各类网站、信息系统运营单位需重视CNCERT安全周报预警，落实监测手段，及时排查风险，守住域名解析安全关口。