信通院预警境外AS402425 BGP路由劫持攻击，恶意篡改国内域名解析

近期，中国信息通信研究院发布网络安全预警，监测到境外自治域AS402425实施BGP路由劫持攻击，在Equinix新加坡互联网交换中心发布虚假路由，劫持国内跨境DNS流量，并篡改域名解析应答，国内多地用户访问正常域名时，出现异常跳转赌博网站现象。该攻击属于典型BGP劫持叠加DNS投毒的复合攻击，隐蔽性强，对域名与路由基础设施安全敲响警钟。

一、攻击原理：BGP伪造路由，中途篡改DNS报文

本次攻击的核心链路分为两步，区别于传统域名污染、本地DNS投毒。

第一步，攻击者利用AS402425对外宣告更精细的虚假IP前缀。BGP协议遵循最长前缀匹配原则，当攻击者宣告更具体的路由条目时，国际骨干网会优先把目标流量转发至攻击者控制网络，也就是俗称的“路由劫持”，相当于在互联网主干线上伪造路牌，将本应正常回流国内的解析流量引流到攻击者节点。

第二步，流量进入AS402425网络后，攻击者直接修改DNS应答包。主要有两种篡改方式：直接把域名A记录替换成博彩IP；或者将解析请求导向恶意DNS服务器，由恶意服务器返回虚假解析结果。整个过程不需要入侵域名注册商、域名服务器，在传输链路中间完成篡改，普通用户很难识别故障源头，容易误以为是电脑中毒或者路由器被劫持。

二、攻击主体与传播路径

涉事自治系统AS402425，由美国QOREXALABS于2026年4月在ARIN注册，接入节点落地新加坡Equinix交换中心，上游运营商包含Cogent、HE等国际线路服务商。

信通院在发现异常后，第一时间联合国内运营商封堵虚假劫持路由、广播明细路由、刷新域名缓存，同步联系国际运营商和交换中心，要求阻断劫持路由扩散，目前首轮攻击影响基本消除。但预警同时提示，该攻击团伙具备调整接入节点、更换劫持策略的能力，后续仍有复发风险，不可放松监控。

三、对域名服务商与企业站点的危害

这类跨境路由劫持对依赖境外DNS、海外CDN、跨境业务的企业威胁突出。

一是无差别篡改解析，企业官网、业务接口、证书OCSP、软件更新域名都有可能被劫持，引发业务中断、用户被骗、品牌信誉受损。

二是攻击发生在国际传输链路，域名本身记录、DNS服务器状态看起来完全正常，常规域名监控工具很难快速发现。

三是跨运营商、跨国边界，处置依赖国际间路由协同，处置链路更长。

大量中小站点、跨境业务平台习惯使用境外公共DNS，这部分流量是本次攻击的重点目标群体。

四、官方给出防护建议

信通院针对运营商、域名服务商、企业用户给出明确防护方案。

对于网络运营单位：强化BGP路由源验证、ROA路由源认证，部署RPKI，过滤异常跨前缀路由宣告，建立BGP异常路由告警机制；

对于域名运营企业：尽量减少不必要的跨境解析，优先使用境内可信DNS节点，开启DNSSEC签名，校验解析应答完整性，避免裸DNS明文传输；

运维人员持续监控解析一致性，多节点多线路对比解析结果，一旦发现不同线路返回IP不一致，及时上报处置；

普通用户遇到访问网站自动跳转陌生赌博页面，优先切换国内公共DNS，保留访问日志及时上报安全平台。

五、行业启示：BGP与DNS基础设施安全不可忽视

长期以来很多站点管理者把安全重心放在服务器、Web防火墙、证书防护上，低估BGP路由劫持风险。BGP作为互联网核心路由协议，缺少原生强身份校验，只要能发布更精细前缀，就存在劫持空间，是全球互联网长期存在的基础风险。

本次AS402425事件再次证明，域名安全不等于只管好域名解析记录，路由链路、跨网传输、国际交换节点，共同构成域名解析信任链条。RPKI、DNSSEC、路由监控、多线路解析校验，是抵御同类劫持事件的组合方案。

小结

AS402425发起的BGP劫持+DNS篡改攻击，是近期非常典型的跨境基础设施攻击案例。虽然首轮攻击已经被协同处置，但境外自治域发起同类劫持的风险持续存在。域名服务商、IDC、跨境企业需要补齐路由与DNS链路监控能力，减少明文跨境解析，通过RPKI、DNSSEC等技术加固信任链，降低路由劫持带来的解析篡改风险。