事件简述
据 APNIC 博客发布的客座分析文章，一起针对托管软件供应商 Softaculous 的 BGP 路由劫持（BGP Hijack）事件被披露。攻击者通过非法宣告相关 IP 前缀，劫持了流向该供应商的流量，并借此获得了欺诈性的 TLS 证书，随后分发了恶意的 Virtualizor 更新包。
BGP 劫持的基本原理
BGP（边界网关协议）作为互联网骨干网之间的路由交换协议，依赖信任模型。当某个自治系统（AS）错误地或恶意地宣告不属于自己的 IP 前缀时，部分流量会被重定向至攻击者网络，这就是 BGP 劫持。此类事件会影响路由追踪路径、跨境链路质量，并可能被用于中间人攻击。
与本站观测能力的关联
使用 traceroute 类工具可发现 AS 路径的异常绕路；通过持续监控 BGP 状态能提前预警。对于依赖特定服务商接口的运维团队，此类劫持直接导致 API 或软件更新通道被篡改。
对读者的意义与技术解读
本次事件虽针对特定软件供应商，但暴露了互联网路由基础设施的脆弱性。对于运维、SRE 与站长而言，需意识到：
- 软件更新链路并非天然可信，即使使用 HTTPS 也可能因伪造证书而失效；
- BGP 劫持可绕过传统防火墙与 TCP 握手检测，因为 tcping 等端口连通性测试可能显示正常，但流量已被重定向；
- 建议对关键域名部署证书透明度（CT）日志监控，并结合 HTTP 测速与 TTFB 异常波动排查中间人。
防护与监控建议
- 在网络侧启用 RPKI 源验证，过滤无效路由宣告；
- 使用多地点 ping 与 traceroute 探针，对比正常基线以发现路径变化；
- 对内部系统更新服务器实施双向 TLS 校验与签名验证，不依赖单一 CA；
- 关注 DNS 解析结果，防止 DNS 污染配合 BGP 劫持形成组合攻击。
“攻击者通过 BGP 劫持获取欺诈 TLS 证书并分发恶意更新，说明路由层安全是应用层防护的基石。”——本站技术编辑解读
更多细节可参考原分析：APNIC Blog: Latest BGP hijack targets hosting software vendor。