Исследователи нашли гигантский VPN-туннель в DNS, ведущий в Иран
Исследователи DomainTools рассказали о небывалом всплеске DNS-трафика в начале марта 2026 года. По их данным, это был VPN-туннель через DNS, вероятно, из Ирана.
DomainTools собирает пассивные DNS-данные: датчики компании фиксируют записи, которые возвращают DNS-серверы, и обрабатывают около миллиона наблюдений в секунду. 1 марта инженеры заметили перегрузку серверов приёма. Источником оказался один домен, supaghost.cc, который давал до 500 000 наблюдений в секунду, то есть увеличил поток данных примерно в полтора раза. За несколько дней на него пришлось 40 млрд записей, после чего компания начала его фильтровать.
Почти весь поток состоял из TXT-записей. Обычно в них хранят служебный текст, например подтверждение владения доменом, но туда можно упаковать и произвольные данные. По структуре записей исследователи пришли к выводу, что через домен работал VPN поверх DNS: сетевые пакеты кодируются в DNS-запросы и ответы, а затем выходят в интернет через отдельный узел. Такой туннель помогает передавать данные там, где остальной трафик блокируют или проверяют.
Всплеск начался примерно через сутки после того, как США и Израиль начали бомбардировки Ирана. По словам исследователей, несколько технических признаков, в основном из внешних источников, указывали, что трафик шёл из Ирана или его окрестностей. Вскоре активность перекинулась больше чем на сотню доменов, среди которых непропорционально много было в иранской зоне .ir. Большинство из них зарегистрировали в сентябре–ноябре 2025 года, и до марта они не использовались. Также усилилась нагрузка на уже работавшие DNS-туннели в Евразии и Южной Азии.
Автор отчёта допускает, что это могло быть экстренное резервное копирование данных за пределы страны. Объём, по его мнению, слишком велик для активности оппозиции или обычных граждан, а косвенные признаки указывают на иранские власти. Расшифровывать данные компания намеренно не стала. Сам автор называет эту версию предположением.
«Это есть и должно оставаться предположением», — подчеркнул автор отчёта.
DomainTools с марта передавала сведения об инциденте партнёрам и опубликовала отчёт только сейчас, после согласования с ними. Компания призвала других исследователей, которые видели похожую активность, поделиться наблюдениями.