Китай опубликовал доклад о перенаправлениях на сайты азартных игр, связанных с зарубежной AS 402425
Коротко
Национальный центр экстренного реагирования в сфере интернета Китая опубликовал 20 октября доклад о расследовании повторяющихся случаев в нескольких провинциях, когда пользователей перенаправляли на сайты азартных игр. По его данным, злоумышленники использовали зарубежную автономную систему AS 402425, анонсируя ложные маршруты и подменяя данные разрешения DNS. Согласно докладу, система была зарегистрирована 9 апреля 2026 года американской компанией QOREXA LABS.
Читать полностью 2 мин чтения
Национальный центр экстренного реагирования в сфере интернета Китая опубликовал 20 октября доклад о расследовании вредоносной подмены части данных разрешения DNS из зарубежной автономной системы AS 402425, сообщила IT Home. В докладе говорится, что в последнее время пользователей в нескольких китайских провинциях неоднократно перенаправляли на сайты азартных игр при попытке открыть сайты. Как сказано в докладе, это серьёзно нанесло ущерб имущественной безопасности людей и нормальному использованию интернета. [ 1 , 2 , 3 , 4 , 5 ]
Согласно докладу, злоумышленники использовали AS 402425 и главным образом полагались на анонсирование ложных маршрутов и подмену данных разрешения доменных имён. На первом этапе они зарегистрировали в реестре интернет-маршрутизации ложные префиксы исходных адресов и ложный набор автономных систем. Затем они использовали контролируемые ими автономные системы для публикации ложных префиксов и ложных коротких путей, перехватив часть трафика внутри Китая. [ 2 , 5 , 6 ]
На втором этапе, после перехвата трафика, злоумышленники подменяли в нём данные разрешения DNS двумя способами. Первый — прямо менять значение разрешения DNS на адрес сайта азартных игр. Второй — направлять запрос на вредоносный DNS-сервер, который возвращает адрес сайта азартных игр, когда пользователи запрашивают разрешение доменного имени. [ 2 , 5 , 6 ]
В докладе говорится, что техническое измерение подтвердило: подмена доменных имён произошла внутри AS 402425. Сообщается, что система была зарегистрирована в Американском регистре интернет-номеров (ARIN) 9 апреля 2026 года американской компанией QOREXA LABS, сайт которой показывает, что она занимается бизнесом, связанным с биткоином. [ 2 , 5 , 6 ]
В докладе рекомендуется странам и организациям по всему миру проверить проблему и принять меры. Региональным регистраторам интернет-ресурсов, платформам торговли IP-адресами и аналогичным органам следует проверить и аннулировать AS 402425 и другие вредоносные ресурсы AS. Операторам связи следует настроить фильтрацию маршрутов на граничных маршрутизаторах, проверять анонсы маршрутов и отклонять и удалять вредоносные маршруты, содержащие AS 402425. Интернет-платформам следует отслеживать изменения IP-адресов, на которые резолвятся их основные домены, аномальные ответы DNS и аномальные изменения путей маршрутов, а подтверждённый перехват сообщать вышестоящим операторам, чтобы разорвать канал перехвата. [ 5 , 6 ]
Пользователям интернета доклад советует использовать проверенные и надёжные публичные DNS-сервисы и избегать DNS-сервисов неизвестного происхождения. Если страница перенаправляет на вредоносный сайт, пользователям не следует нажимать какие-либо кнопки или ссылки и загружать программы, а нужно сразу закрыть страницу и очистить кеш браузера. Также доклад советует поддерживать операционную систему и браузер в актуальном состоянии и включать средства защиты. [ 5 , 6 ]
CLS и 36Kr приписали свой текст CCTV News. В тексте сказано, что выводы опубликованы в качестве справочного материала для соответствующих стран, организаций и пользователей интернета по всему миру, чтобы выявлять такие атаки и защищаться от них. [ 1 , 4 ]
Почему это важно
В докладе говорится, что атаки нанесли ущерб имущественной безопасности пользователей и нормальному доступу в интернет, и призывает регистраторов, операторов связи и интернет-платформы по всему миру принять меры. В документах нет данных о потерях или количестве затронутых пользователей.
Ключевые факты
- Пользователей в нескольких китайских провинциях неоднократно перенаправляли на сайты азартных игр при попытке открыть сайты, согласно докладу о расследовании. [ 1 , 2 , 3 , 4 , 5 ]
- В докладе говорится, что злоумышленники использовали зарубежную автономную систему AS 402425, главным образом анонсируя ложные маршруты и подменяя данные разрешения доменных имён. [ 1 , 2 , 3 , 4 , 5 ]
- Национальный центр экстренного реагирования в сфере интернета опубликовал доклад о расследовании 20 октября. [ 3 ]
- Техническое измерение подтвердило, что подмена доменных имён произошла внутри AS 402425. [ 2 , 5 , 6 ]
- AS 402425 была зарегистрирована в ARIN 9 апреля 2026 года американской компанией QOREXA LABS, сайт которой указывает, что она занимается бизнесом, связанным с биткоином. [ 2 , 5 , 6 ]
- В докладе рекомендуется региональным регистраторам интернет-ресурсов и платформам торговли IP-адресами проверить и аннулировать AS 402425 и другие вредоносные ресурсы AS. [ 5 , 6 ]
Подтверждено несколькими источниками
- Несколько китайских провинций неоднократно сталкивались с перенаправлением запросов пользователей на сайты азартных игр, что, по докладу, серьёзно нанесло ущерб имущественной безопасности людей и нормальному использованию интернета. [ 1 , 2 , 3 , 4 , 5 ]
- В докладе говорится, что злоумышленники использовали зарубежную автономную систему AS 402425, главным образом анонсируя ложные маршруты и подменяя данные разрешения доменных имён. [ 1 , 2 , 3 , 4 , 5 ]
- В докладе говорится, что AS 402425 была зарегистрирована в ARIN 9 апреля 2026 года американской компанией QOREXA LABS, и что техническое измерение подтвердило подмену доменных имён внутри неё. [ 2 , 5 , 6 ]
- Национальный центр экстренного реагирования в сфере интернета опубликовал доклад, который CLS и 36Kr приписывают CCTV News. [ 1 , 3 , 4 ]
Пока неясно
- Сколько провинций и пользователей пострадало и когда произошли инциденты В документах сказано лишь, что несколько провинций неоднократно подвергались атакам в последнее время, без названий, дат и цифр.
- Кто стоит за атаками Доклад связывает подмену с AS 402425 и называет QOREXA LABS её регистрантом, но документы не говорят, кто проводил атаки. В них нет ответа QOREXA LABS.
Что пишут местные СМИ
Хронология, местное время
- Материал CLS о выводах расследования со ссылкой на CCTV News опубликован. [ 1 ]
- Материалы Jiemian и IT Home опубликованы. IT Home сообщила, что Национальный центр экстренного реагирования в сфере интернета выпустил доклад в тот же день. [ 2 , 3 ]
- Сводка доклада опубликована 36Kr. [ 4 ]
- Полный доклад с рекомендациями опубликован China News Service. [ 5 ]
- Технические выводы и рекомендации опубликованы cnBeta. [ 6 ]