荷兰域名服务器失守：成千网站现恶意软件

ZDNET安全频道 08月13日 国际新闻：成千的荷兰网站这个星期出现恶意软件。最初认为是SIDN的域名服务器（DNS）被人破解利用。SIDN和荷兰域名扩展.nl的管理机构。

星期一，有报告指荷兰一家大型在线电子零售商Conrad.nl的网站出现恶意软件，网站随即下线。似乎是个孤立的个案，但是马上发现原来是个大得多的问题。

据几个新闻报道说，黑客于星期一早上成功进入SIDN的DRS（域名登记系统），有效地把SIDN的DRS流量导向一个外部域名服务器。荷兰安全公司Fox-IT对事件研究过，据他们的说法是，这次的侵入影响到数千个域名，毫无戒备的用户访问受影响域名时会被转到一个“正在修建中”的网页上，网页则同时会通过一个iframe送出恶意软件。恶意软件是一个黑洞（Black Hole）攻击套件，会通过Java和PDF的漏洞给自己取得电脑访问权。一旦下载后，它还会下载别的恶意软件，进而通过Tor与C&C服务器通话。

误导的报道

尽管改向较为迅速地被发现，问题的连锁反应却持续了相当长一段时间，原因是域名服务器给出的DNS时间是24小时，也就是说，一旦设好后，许多互联网服务提供商（ISP）会在24小时内继续使用有错误的DNS域。

在这期间，SIDN发布了一个声明，指有好几个新闻报道带误导成分：“星期天早上，一个特别的增强型注册的DRS户头（Digitalus）对DNS做了改动。此增强型注册的域名服务器的内容被虚假的内容替代。因此，欲访问此增强型注册网页的客户被改向访问别的地方。SIDN的DRS并未受到干扰，否则增强型注册都会出现潜在的大问题，会影响到这些增强型注册的客户和其他市场玩家。我们希望强调的是，SIDN并无受到危害。”

第二波事件

这次事件是SIDN两个月内面临的第二次安全问题。上个月，黑客用SQL注入攻击的办法成功破解了域名管理员的系统，然后把一些恶意软件置入他们的服务器里。不过，管理员强调说，上次的黑客攻击是与目前的问题是不相关的，而且用来重新设置路由的DRS户头登录也不是上一次得到的。其间，荷兰国家电脑安全中心正在调查此次事件。