#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Предположительно, операция DNS-over-VPN генерировала исключительно интенсивный трафик TXT-записей через домен `supaghost.cc` и более чем 100 связанных доменов, многие из которых имеют доменную зону `.ir`. В инфраструктуре использовались делегированные DNS-серверы и несколько провайдеров DNS-туннелирования для ретрансляции двунаправленных закодированных данных, что потенциально могло обеспечивать передачу данных или резервное копирование в больших масштабах, хотя содержание данных и атрибуция остаются неподтвержденными.
-----

1 марта 2026 года в ходе мониторинга было зафиксировано экстремальное увеличение активности DNS, связанной с доменом `supaghost.cc`. Активность в основном состояла из записей DNS TXT и достигала 500 000 наблюдений в секунду, что привело к значительному накоплению необработанной очереди. Структура полезной нагрузки и паттерны запросов и ответов соответствовали коммуникациям VPN-over-DNS, при которых DNS-запросы и ответы обеспечивают передачу двунаправленного трафика в средах, где традиционные протоколы VPN могут блокироваться или контролироваться.

Наблюдаемый трафик, по всей видимости, использовал записи DNS для сегментации и ретрансляции данных. В инфраструктуре `supaghost.cc` трафик был связан с третьим меткой и делегирован хостам именованных серверов, расположенных под корневой доменной зоной. Эти именованные серверы часто резолвились в отдельные виртуальные частные серверы, которые, по сообщениям, были защищены Cloudflare. Использование записей TXT обеспечивало механизм для передачи произвольных закодированных данных, в то время как запросы DNS позволяли как входящую передачу команд или данных, так и исходящую отправку.

В течение примерно 24 часов после эскалации активность распространилась с исходного домена на более чем 100 доменов. Домены с иранским TLD `.ir` были значительно перепредставлены, а многие домены демонстрировали схожие паттерны запросов, сконцентрированные в течение нескольких дней, несмотря на то, что были зарегистрированы в период с сентября по ноябрь 2025 года. Несколько дополнительных доменов с высокой пропускной способностью принадлежали существующим ранее сервисам DNS-туннелирования в Евразии и Южной Азии, что указывает на диверсификацию через нескольких провайдеров транспорта или инфраструктурных кластеров.

По имеющимся данным, внешние индикаторы указывали на то, что часть трафика исходила из Ирана или из близлежащих к нему регионов, с дальнейшей транзитной передачей в расположение союзника. Хронология событий совпала с усилением бомбардировок Ирана со стороны США и Израиля, однако в отчете не устанавливается атрибуция или цель передаваемых данных. Наблюдаемый масштаб, предварительная подготовка инфраструктуры и быстрое распределение трафика через несколько DNS-туннелей были оценены как потенциально соответствующие экстренной передаче данных в больших объемах или деятельности по резервному копированию. Дешифровка не выполнялась, в связи с чем содержание данных и точная оперативная цель остаются неподтвержденными.