北京
政府和学校的官网照常打开，一切看起来正常。但在这些域名底下，有人悄悄挂上了非法赌博页面，借机构的信誉去搜索引擎里抢流量。
Infoblox 的研究人员在 2026年10月26日发布的一份关于域名遮蔽（domain shadowing）的报告中，记录了两起互不相关的操作。两起都是通过修改 DNS 记录，把赌博页面放到可信机构地址之下。受影响机构分布在孟加拉国、印度和墨西哥。
其中一起操作涉及8个机构域名下超过850个已观测入口，并关联到30多个赌博品牌。这些数字描述的是基础设施规模，不是已确认的受害者或感染数量；由于调查仍在进行，研究人员认为这只是最低计数。
域名遮蔽的手法并不复杂：攻击者在合法域名下添加未经授权的 DNS 记录，而主网站本身不受影响。这与此前报道的、利用废弃云资源的 Hazy Hawk 子域名劫持活动不同——这两起操作看起来涉及对 DNS 管理权限的未授权访问。攻击者最初如何拿到 DNS 管理权限，目前仍不清楚。
Infoblox 将第一个攻击者追踪为 Hidden Hawk，它似乎在向非法印尼赌博品牌出售搜索可见性。该攻击者在学校和政府域名下添加 CNAME 记录（把一个主机名变成另一个主机名的别名），其中大多数指向托管在 Cloudflare Pages 上的外部赌博内容，而不是机构自己的服务器。
外部托管的主机名经常照抄对应的机构主机名，只把点换成连字符。这个规律帮研究人员还原了被劫持地址与托管页面之间的关系。一个有记录的例子里，赌博内容在2026年7月6日至10月1日期间一直挂在孟加拉国一所中学的域名下。
只看网站本身很容易漏掉这类活动，因为学校和政府机构的主要服务一直可用。6个孟加拉国学校域名各自带有大约50到240多个条目，一个墨西哥教育域名则有50多个。一个喀拉拉邦政府的子域名直接托管了赌博内容，还接收了一些学校的 CNAME 连接；研究人员观察到该案例在2026年7月已被修复，但其他一些基础设施仍在运行。
在受控研究过程中，Infoblox 用一个虚构的赌场身份联系了一个据信属于 Hidden Hawk 的 Telegram 账号。对方提供了外链优化、定制落地页和谷歌 AMP 页面，给出了付款方式，并保证谷歌排名靠前。研究人员没有付款；这套推销说辞与他们观测到的基础设施对得上。
第二起操作换了打法
另一起操作针对印度马哈拉施特拉邦的政府基础设施和一个 ESIC 子域名。攻击者没有逐个添加别名，而是创建了未经授权的、指向 ClouDNS 的域名服务器委派，把选定 DNS 子区域的控制权转移到外部域名服务器上，让这些区域下的记录可以在政府正常 DNS 环境之外被管理。Infoblox 没有将这起活动归因于 Hidden Hawk。
一条通配符记录进一步扩大了控制范围，让某个被委派子区域下的任意名称都能解析。赌博相关记录至少从2025年8月起就已出现，内容分发用到 DigitalOcean、Amazon CloudFront 和 BunnyCDN，机器生成的入口页覆盖 rummy、博彩、彩票和 satta matka。这些委派在2026年10月中旬前消失，说明已被修复。
就这两起调查而言，有记录的用途是搜索可见性和流量获取。现有证据不能证明访问者被投放了恶意软件，也不能证明哪起操作窃取了机构数据。
对防守方来说，重点不是看首页是否正常，而是盯住权威 DNS 的变更。以下情况都需要排查：
- 意料之外的 CNAME 目标
- 新增的域名服务器委派
- 无法解释的通配符记录
- 陌生子域名集中爆发
证书透明度日志的观测结果，也应与已批准的服务和 DNS 变更记录做比对。发现未授权变更的机构，应删除问题记录、检查注册商和 DNS 服务商日志、轮换已暴露的凭据，并强制启用多因素认证。
Infoblox 同时提醒，不要封禁整个合法机构域名。处置应聚焦未授权的主机名和攻击者控制的基础设施，同时处理让滥用得以发生的账号访问或委派问题。共享托管平台同样需要结合上下文调查，而不是一刀切封禁。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
