腾讯云DNSPOD发现大量家用路由器遭到劫持 DNS被篡改为恶意服务器
原文中文，约1500字，阅读约需4分钟。
📝
内容提要
腾讯云DNSPOD发现大量家用路由器遭到入侵并被修改为恶意DNS服务器，用户可能遇到网站打不开或乱跳转等问题。建议用户重置路由器并更换账号密码确保安全。
🔎
延伸解读
事件时间线与影响范围
根据腾讯云DNSPOD的监测，此次路由器DNS劫持事件最早于2024年5月出现，并在8月5日集中爆发达到峰值。截至8月7日，导致故障的域名在异常DNS服务器上已恢复，但由于TTL和客户端缓存的影响，用户端的恢复可能存在滞后。这表明攻击活动具有持续性和阶段性爆发的特点，用户需保持警惕。
攻击手法与安全风险
黑客通常扫描互联网上暴露的路由器，利用默认密码、固件漏洞或常用密码爆破获取管理权限，进而将路由器的DNS服务器修改为恶意地址。一旦得逞，用户访问网站时可能被导向钓鱼网站、虚假网站或非法网站，导致财产损失或隐私泄露。这种攻击手法简单但有效，凸显了路由器安全配置的重要性。
自查与处置建议
用户可登录路由器管理页面检查DNS服务器配置，若发现DNSPOD列出的恶意IP地址，应立即重置路由器并更换账号密码。若DNS地址不在列表中，可通过检查TTL是否为86400秒、是否返回NXDOMAIN及错误SOA记录、或DNS版本是否为unbound 1.16.2等特征进一步判断。及时排查和处置能有效避免持续风险。
❓
Q&A
家用路由器被劫持后会出现什么问题？
用户可能会遇到网站打不开或乱跳转等问题。
黑客是如何入侵家用路由器的？
黑客通过默认密码、固件漏洞或常用密码获取路由器管理权限。
如何检查我的路由器DNS设置是否被篡改？
登录路由器管理页面检查DNS服务器配置，查看是否有恶意IP地址。
如果发现路由器DNS被篡改，我该怎么办？
建议重置路由器并更换账号密码以确保安全。
DNSPOD发现的恶意DNS地址有哪些？
恶意DNS地址包括122.9.187.125、8.140.21.95等多个IP。
如何通过命令行检查DNS是否被篡改？
可以使用命令'dig @路由器 DNS IP version.bind chaos txt'检查DNS版本。
🏷️
