数字安全观察

最近，中国多个省份频繁出现用户访问请求被异常跳转到博彩网站的情况，严重威胁了公众的财产安全和正常上网权益。经分析，攻击者借助中国境外自治域AS 402425，主要通过宣告虚假路由、篡改域名解析数据等方式实施攻击，影响范围较广。现将有关调查情况公布如下，供全球相关国家、单位和广大网民参考，以便有效发现和防范此类攻击。

一、网络攻击过程

（一）通过宣告虚假路由劫持流量。攻击者在互联网路由注册库中注册虚假源地址前缀和虚假自治域集合，并利用其控制的自治域发布虚假源地址前缀和虚假短路径，从而劫持中国境内部分流量。

（二）篡改劫持流量中的DNS解析数据。攻击者劫持流量后，会篡改其中的DNS解析数据，主要有两种方式：一是直接将DNS解析值修改为博彩网站地址；二是将DNS解析值指向恶意DNS服务器地址，用户向该恶意DNS服务器请求域名解析时，会得到博彩网站地址。

二、网络攻击定位

经技术测量，确认域名篡改发生在中国境外自治域AS 402425内。该自治域由美国公司QOREXA LABS于2026年4月9日在美洲互联网号码注册管理机构ARIN注册，该公司官网显示其经营比特币相关业务。

三、域名篡改后指向的部分恶意IP地址

112.121.185.110

112.121.185.234

112.121.185.186

112.121.185.98

112.121.185.202

117.55.193.146

112.121.185.206

117.55.193.154

112.121.184.110

43.230.161.215

112.121.184.230

43.230.161.159

112.121.185.22

43.230.161.166

112.121.185.210

43.230.161.165

112.121.185.214

43.230.161.213

112.121.185.230

四、防范建议

建议全球相关国家、单位增强风险意识，及时开展排查和处置，重点做好以下防范工作：

（1）地区互联网注册机构、IP地址交易平台等互联网号码资源相关机构应及时核查并注销AS 402425等恶意AS资源。

（2）网络运营商应在边界路由设备上配置路由过滤策略，对路由宣告进行校验，拒绝接收并删除包含AS 402425的恶意路由。

（3）互联网平台应加强对核心业务域名解析IP变化、DNS应答报文异常、路由路径异常变更等情况的监测，及时发现劫持行为。一旦确认发生劫持事件，应及时向上游运营商申告，要求处置异常路由宣告，切断劫持链路。

建议广大网民增强风险意识，加强安全防范，避免不必要的经济损失，具体包括：

（1）使用经过验证的可信公共DNS服务，避免使用来源不明的DNS服务。

（2）出现页面跳转至恶意网站时，不要点击页面内任何按钮、链接，不要下载页面提供的程序，应立即关闭网页，并及时清理浏览器缓存。

（3）保持终端操作系统、浏览器更新至最新版本，开启系统安全防护软件，防范跳转页面附带的恶意脚本、钓鱼等攻击。

声明：本文来自国家互联网应急中心CNCERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。

来源：安全内参安全资讯；原文日期：2026-10-19。内容经中文改写，请以原文为准。

(责任编辑：数字安全观察)