Аннотация:
По данным CCTV News, недавние случаи ненормального перехода пользователей на веб-сайты с азартными играми произошли во многих провинциях Китая, что нанесло серьезный ущерб безопасности собственности и нормальным правам людей в Интернете. После анализа злоумышленники использовали зарубежный автономный домен Китая AS 402425 для осуществления атак, в основном путем объявления ложных маршрутов и подделки данных разрешения доменных имен. Масштаб вреда широк. Настоящим объявляются результаты соответствующего расследования, которые предоставят информацию соответствующим странам, подразделениям и пользователям сети по всему миру для эффективного обнаружения и предотвращения таких атак.
<р>1. Процесс сетевой атаки
(1) Перехват трафика путем объявления ложных маршрутов. Злоумышленник зарегистрировал ложные префиксы исходных адресов и ложные наборы автономных доменов в реестре маршрутизации Интернета, использовал подконтрольные ему автономные домены для публикации ложных префиксов исходных адресов и ложных коротких путей, а также перехватил часть трафика внутри Китая.
(2) Подделка данных разрешения DNS в перехваченном трафике. После того как злоумышленники перехватывают трафик, они подделывают в нем данные разрешения DNS. Существует два основных метода: один — напрямую изменить значение разрешения DNS на адрес игрового веб-сайта; другой — указать значение разрешения DNS на адрес вредоносного DNS-сервера. Когда пользователь запрашивает разрешение доменного имени у вредоносного DNS-сервера, ему возвращается адрес азартного сайта.
<р>2. Место сетевой атакиПосредством технических измерений было подтверждено, что подделка доменного имени произошла в AS 402425, автономном домене за пределами Китая. Этот автономный домен был зарегистрирован американской компанией QOREXA LABS в ARIN, Американском органе регистрации интернет-номеров, 9 апреля 2026 года. На официальном сайте компании указано, что она занимается бизнесом, связанным с биткойнами.
<р>3. Некоторые вредоносные IP-адреса, указанные после подделки доменного имени
Рекомендуется, чтобы соответствующие страны и подразделения по всему миру повышали осведомленность о рисках, проводили своевременное расследование и утилизацию, а также сосредоточивали внимание на следующей профилактической работе:
Региональные агентства интернет-регистрации, платформы торговли IP-адресами и другие организации, связанные с ресурсами интернет-номеров, должны оперативно проверять и удалять вредоносные ресурсы AS, такие как AS 402425.
Операторам сети следует настроить политику фильтрации маршрутов на устройствах пограничной маршрутизации, проверять объявления маршрутов, а также отклонять и удалять вредоносные маршруты, содержащие AS 402425.
Интернет-платформам следует усилить мониторинг изменений в IP-адресах разрешения доменных имен основного бизнеса, аномалиях в ответных сообщениях DNS, аномальных изменениях в путях маршрутизации и т. д., чтобы своевременно обнаруживать случаи взлома. После подтверждения события перехвата своевременно сообщите об этом вышестоящему оператору, попросив обработать объявление об аномальной маршрутизации и отключить канал перехвата.
Большинству пользователей Интернета рекомендуется повысить осведомленность о рисках, усилить меры безопасности и избегать ненужных экономических потерь, в том числе:
Используйте проверенную и надежную общедоступную службу DNS и избегайте использования служб DNS из неизвестных источников.
Когда страница переходит на вредоносный веб-сайт, не нажимайте никакие кнопки или ссылки на странице, не загружайте программы, предоставленные страницей, немедленно закрывайте страницу и своевременно очищайте кеш браузера.
Обновляйте операционную систему и браузер терминала до последней версии, включите программное обеспечение для защиты системы и предотвращайте вредоносные сценарии, фишинг и другие атаки, связанные с переходными страницами.
Комментарии