Кодик кратко объясняет суть статьи
DomainTools зафиксировала аномальную активность DNS-трафика в марте 2026 года, вызванную доменом supaghost.cc, генерирующим до полумиллиона запросов в секунду. Исследования показали, что почти весь трафик состоял из TXT-записей, используемых для организации DNS-туннеля, позволяющего обходить блокировки трафика. Всплеск совпал с началом военных действий против Ирана, и ряд признаков указывал на происхождение трафика из этой страны. Автор отчёта предполагает, что трафик мог служить экстренному резервному копированию данных правительством Ирана, однако отмечает, что это лишь гипотеза. DomainTools передала информацию партнёрам и теперь призывает других исследователей делиться подобными наблюдениями.
Читайте в Telegram
|
Исследователи DomainTools рассказали о небывалом всплеске DNS-трафика в начале марта 2026 года. По их данным, это был VPN-туннель через DNS, вероятно, из Ирана.
DomainTools собирает пассивные DNS-данные: датчики компании фиксируют записи, которые возвращают DNS-серверы, и обрабатывают около миллиона наблюдений в секунду. 1 марта инженеры заметили перегрузку серверов приёма. Источником оказался один домен, supaghost.cc, который давал до 500 000 наблюдений в секунду, то есть увеличил поток данных примерно в полтора раза. За несколько дней на него пришлось 40 млрд записей, после чего компания начала его фильтровать.
Почти весь поток состоял из TXT-записей. Обычно в них хранят служебный текст, например подтверждение владения доменом, но туда можно упаковать и произвольные данные. По структуре записей исследователи пришли к выводу, что через домен работал VPN поверх DNS: сетевые пакеты кодируются в DNS-запросы и ответы, а затем выходят в интернет через отдельный узел. Такой туннель помогает передавать данные там, где остальной трафик блокируют или проверяют.
Всплеск начался примерно через сутки после того, как США и Израиль начали бомбардировки Ирана. По словам исследователей, несколько технических признаков, в основном из внешних источников, указывали, что трафик шёл из Ирана или его окрестностей. Вскоре активность перекинулась больше чем на сотню доменов, среди которых непропорционально много было в иранской зоне .ir. Большинство из них зарегистрировали в сентябре–ноябре 2025 года, и до марта они не использовались. Также усилилась нагрузка на уже работавшие DNS-туннели в Евразии и Южной Азии.
Автор отчёта допускает, что это могло быть экстренное резервное копирование данных за пределы страны. Объём, по его мнению, слишком велик для активности оппозиции или обычных граждан, а косвенные признаки указывают на иранские власти. Расшифровывать данные компания намеренно не стала. Сам автор называет эту версию предположением.
«Это есть и должно оставаться предположением», — подчеркнул автор отчёта.
DomainTools с марта передавала сведения об инциденте партнёрам и опубликовала отчёт только сейчас, после согласования с ними. Компания призвала других исследователей, которые видели похожую активность, поделиться наблюдениями.
