Необычный поток DNS-трафика нагрузил инфраструктуру DomainTools настолько сильно, что один домен в пиковые моменты создавал до 500 тыс. новых наблюдений в секунду. За несколько дней supaghost[.]cc накопил около 40 млрд записей, а структура трафика оказалась характерной для VPN, работающего поверх DNS. Технические индикаторы указывали на происхождение активности из Ирана, однако исследователи не смогли установить владельца инфраструктуры и содержимое передаваемых данных.
Аномалию обнаружили первого марта 2026 года. Пассивная DNS-сеть DomainTools обычно обрабатывает, проверяет и устраняет дубликаты примерно миллиона наблюдений в секунду. Поток от единственного домена supaghost[.]cc увеличил общую нагрузку примерно наполовину.
Большинство необычных записей относилось к типу TXT, который позволяет помещать в DNS произвольные данные. Анализ содержимого показал признаки DNS-туннелирования: DNS-запросы и ответы используются как транспортный канал вместо обычных сетевых соединений. Подобная схема позволяет передавать команды, файлы или другой трафик через сети, где традиционные протоколы заблокированы или тщательно фильтруются.
В TXT-записях supaghost[.]cc исследователи увидели фрагменты, похожие сразу на несколько двоичных сетевых пакетов, объединенных для более эффективной передачи. Предполагаемая схема направляла пакеты на специальные DNS-резолверы, где данные могли декодироваться и уходить дальше через выходной узел. Отдельные поддомены делили поток между серверами имен, связанными с недорогими виртуальными серверами.
DomainTools не пыталась расшифровать содержимое канала, поэтому назначение передаваемой информации осталось неизвестным. Специалисты смогли установить только техническую структуру обмена. Характер DNS-запросов и ответов указывал на двустороннюю передачу данных, необходимую для полноценного туннеля, а не только на одностороннюю выгрузку информации.
Масштаб активности быстро вышел за пределы supaghost[.]cc. Исследователи нашли похожее поведение более чем у 100 доменов, причем среди связанных адресов непропорционально часто встречалась иранская зона .ir. Значительную часть инфраструктуры зарегистрировали еще с сентября по ноябрь 2025 года. До начала марта домены практически не проявляли активности, после чего несколько адресов начали создавать огромные объемы похожего DNS-трафика.
Всплеск совпал с резким ограничением доступа к интернету в Иране. 28 февраля Cloudflare зафиксировала отключение, при котором трафик из страны упал значительно ниже 1% прежнего уровня. При этом маршруты к иранским сетям в основном сохранялись, что указывало скорее на жесткую фильтрацию трафика, чем на физическое отключение инфраструктуры.
Временное совпадение не доказывает прямую связь между ограничениями и DNS-туннелем. DomainTools указывает, что дополнительные технические признаки независимо поддерживали версию о происхождении трафика из Ирана или ближайшего региона. Исследователи также заметили рост нагрузки на уже существовавшие сервисы DNS-туннелирования в Евразии и Южной Азии.
Автор исследования допускает, что инфраструктуру могли подготовить заранее как резервный канал для передачи большого объема данных во время кризиса, однако прямо называет подобное объяснение предположением. Версия о связи с иранскими государственными структурами также не получила доказательств. Надежно подтверждены лишь беспрецедентный объем DNS-записей, признаки VPN-over-DNS, распределение активности по десяткам доменов и технические индикаторы, связывающие источник трафика с Ираном.