关于境内大量家用路由器DNS被篡改情况传递

颁布功夫 2019-02-21

2月19日 ，CNCERT监测发现 ，境内部门用户通过家用路由器接见部门网站时被劫持到涉黄涉赌网站。经研判 ，这是一路典型的由互联网地下玄色产业争斗引发的网络安全事务。具体情况传递如下：


根基情况


我中心监测发现 ，产生域名劫持的家用路由器DNS地址被黑客恶意篡改为江苏省宜昌市103.85.84.0/24、103.85.85.0/24及十堰市45.113.201.0/24等地址段的多个IP地址。这些IP地址提供DNS解析服务 ，并将部门涉黄涉赌类网站域名解析劫持到江苏省宜昌市103.85.84.0/24地址段的部门IP地址 ，最终将用户接见跳转至一博彩类网站“www.mg437700.vip:8888”。经我中心抽样监测发现 ，这次事务影响了遍布我国境内全数省份的IP地址400万余个 ，被劫持的涉黄涉赌类域名190余个 ，暂未发现合法的驰名贸易网站、当局类网站域名被劫持的情况。


措置建议


1. 建议用户查抄家用路由器DNS地址是否被恶意篡改 ，并实时建改。建议DNS地址更改为所使用运营商提供的DNS服务器地址或114.114.114.114等地址。


2. 用户实时批改家用路由器的出厂密码 ，且不要设置单一密码并定期更新 ，预防黑客可等闲接见路由器并进行恶意操作。

CNCERT后续将亲昵监测和关注有关情况。请国内用户、有关单元做好排查工作 ，如需技术增援 ，请联系 CNCERT。电子邮箱：cncert@cert.org.cn。


威胁谍报


IOC：

恶意DNS服务器IP

103.85.84.201

103.85.84.248

103.85.84.240

103.85.84.241

103.85.84.234

103.85.84.239

103.85.84.40

103.85.84.193

103.85.84.246

103.85.84.191

103.85.84.190

103.85.84.236

103.85.84.202

103.85.84.242

103.85.84.195

103.85.84.175

103.85.84.237

103.85.84.238

103.85.84.198

103.85.84.235

103.85.85.207

103.85.85.211

103.85.85.227

103.85.85.228

103.85.85.69

103.85.85.218

103.85.85.210

103.85.85.188

103.85.85.229

103.85.85.242

103.85.85.243

103.85.85.215

103.85.85.209

103.85.85.216

103.85.85.239

103.85.85.237

103.85.85.220

103.85.85.222

103.85.85.236

103.85.85.224

45.113.201.45

45.113.201.53

45.113.201.49

45.113.201.52

45.113.201.59

45.113.201.58

45.113.201.37

45.113.201.38

45.113.201.46

45.113.201.54

45.113.201.43

45.113.201.48

45.113.201.39

45.113.201.36

45.113.201.35

45.113.201.55

45.113.201.47

45.113.201.56

45.113.201.50

45.113.201.51

域名

www.mg437700.vip:8888