阿里云核心域名被“篡改”！数百万服务陷入瘫痪长达六小时

2025-06-07 11:19:09 · 域名圈子 · Kingi

阿里云域名aliyuncs.com在2025年6月6日被恶意篡改NS记录导致服务中断影响广泛涉及OSSCDN等核心服务用户需临时修改DNS或Hosts文件应对

阿里云域名劫持事件（2025年6月6日）是一次影响广泛的网络安全事故，核心问题在于其关键域名 aliyuncs.com 的解析被恶意篡改，导致多项云服务中断。以下是综合公开信息整理的事件详情与分析：

劫持时间与对象
- 时间：2025年6月6日凌晨约2:57（北京时间）
- 劫持目标：阿里云核心域名 aliyuncs.com（用于对象存储OSS、CDN、云解析DNS等服务的底层域名）
  。
- 异常操作：该域名的NS记录被修改，解析指向国际非营利安全组织 Shadowserver 的服务器（sinkhole.shadowserver.org）
  。
影响范围
- 服务中断：依赖 aliyuncs.com 的云服务（如OSS、CDN、容器镜像服务ACR）出现大范围故障，用户无法正常访问资源
  。

用户波及：包括博客园在内的多个网站及企业应用瘫痪，部分海外解析被劫持至荷兰主机商LeaseWeb的IP
。

阿里云于上午8:11完成修复，逐步恢复服务，但因DNS缓存刷新延迟，部分用户影响持续数小时
。

劫持方式
- NS记录篡改：攻击者通过修改域名权威DNS服务器的指向，将 aliyuncs.com 的解析控制权转移到Shadowserver，导致所有解析请求被重定向
  。
- 可能的入口：推测通过域名注册商VeriSign的权限漏洞或社会工程攻击实现（具体原因未官方确认）
  。
异常解析表现
- 用户访问阿里云服务时，域名解析返回错误的Shadowserver IP（如 104.16.XX.XX），而非阿里云真实IP
  。
- 通过 nslookup 或 dig 工具查询 aliyuncs.com 时，显示非常规的NS服务器（如 ns1.sinkhole.shadowserver.org）
  。

业务影响
- 服务中断：OSS文件无法读取、CDN资源加载失败、镜像拉取异常，依赖这些服务的企业应用直接瘫痪
  。
- 客户损失：部分跨境电商因海外服务中断导致广告费损失；开发者遭遇客户投诉14。
用户临时解决方案
- 修改Local DNS：阿里云建议用户将DNS服务器指向其公共DNS（223.5.5.5/223.6.6.6）以绕过劫持
  。
- Hosts文件强制解析：已知业务IP的用户可直接修改Hosts绑定
  。
- 弃用CNAME：将负载均衡（ALB/NLB）的CNAME记录改为A/AAAA记录，直连VIP地址
  。

Shadowserver的角色
- 该组织通常通过“接管恶意域名”阻止网络攻击，但此次直接劫持阿里云核心域名的行为被质疑越权且过度激进
  。
- 猜测动机：可能因 aliyuncs.com 下某子域名被用于恶意活动（如钓鱼），但未获官方证实
  。
域名管理漏洞
- 阿里云未启用域名注册锁（如禁止更新锁），导致NS记录可被篡改
  。
- 注册商VeriSign的安全机制遭质疑（如权限验证不足）
  。

防护方案升级