DNS-активность домена supaghost.cc достигла 500 тысяч наблюдений в секунду
1 марта 2026 года мониторинг зафиксировал всплеск DNS-активности, связанной с supaghost.cc: число наблюдений достигало 500 000 в секунду. Примерно за сутки активность распространилась более чем на 100 доменов. Масштаб, предварительная подготовка инфраструктуры и быстрое распределение трафика исследователи оценили как потенциально соответствующие экстренной передаче больших объёмов данных или резервному копированию. Дешифровку не проводили, поэтому содержание трафика и его точная оперативная цель не подтверждены.
Основную часть активности составляли DNS-запросы TXT. Структура полезной нагрузки и характер запросов и ответов соответствовали передаче данных через DNS в обход ограничений традиционных VPN-протоколов. По всей видимости, DNS-записи использовались для сегментации и ретрансляции данных. Запросы могли обеспечивать передачу команд или данных в инфраструктуру, а также отправку данных из неё.
В инфраструктуре supaghost.cc трафик связывали с меткой третьего уровня, делегированной серверам имён, размещённым под корневой доменной зоной. Эти серверы часто разрешались в отдельные виртуальные частные серверы, которые, по сообщениям, защищал Cloudflare. Домены с иранским доменом верхнего уровня .ir встречались значительно чаще. У многих доменов наблюдались сходные запросы, сосредоточенные в течение нескольких дней, хотя сами домены зарегистрировали с сентября по ноябрь 2025 года. Несколько других доменов с высокой пропускной способностью принадлежали ранее существовавшим сервисам DNS-туннелирования в Евразии и Южной Азии.
По имеющимся данным, внешние индикаторы указывали, что часть трафика исходила из Ирана или близлежащих регионов, а затем передавалась транзитом в расположение союзника. Хронология совпала с усилением бомбардировок Ирана со стороны США и Израиля. Отчёт не устанавливает атрибуцию активности или цель передаваемых данных.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
