伊朗VPN over DNS活动在军事冲突期间产生400亿条DNS观测数据

原创

ZM
ZM

暗镜

2026年10月17日 06:00
北京

去阅读

最新披露的伊朗 VPN over DNS 活动出现前所未有的激增，其中一个域名在几天内产生了 400 亿次被动DNS 观测。

该调查报告于 2026 年 10 月 9 日发布，记录了军事冲突期间基础设施在 100 多个领域扩张的情况，但并未确认其运营者、传输内容和目的。

该活动于 2026 年 3 月 1 日 07:00 UTC 左右开始，并在中午之前急剧升级。工程师们调查 DomainTools 接收服务器的拥塞情况时，发现处理积压源于 supaghost[.]cc，该服务器每秒生成高达 500,000 条观测数据。

DomainTools 通常每秒处理、去重和验证约一百万条观测数据。因此，单个域的接收量增加了约 50%，最终在工程师开始过滤其流量之前，累计达到了 400 亿条观测数据。

TXT 响应可以携带任意数据，而算法生成的子域标签提供了另一种传输信息的方式。

研究员伊恩·坎贝尔评估认为，观察到的TXT有效载荷可能包含多个复用在一起的二进制数据包，以提高效率。根据这种解释，出口节点将解码并转发封装后的流量。

然而，DomainTools并未解码观测到的数据。所提出的数据包处理方法仍属于结构评估，而非对通信或其内容的验证性重构。

委托模式为双向隧道提供了进一步的证据。三级标签 slsa1.supaghost[.]cc 委托给 sa1.supaghost[.]cc，类似的映射关系延伸至 slsa6。

名称服务器主机通常解析为单独的、价格低廉的虚拟专用服务器，DomainTools 将其描述为受 Cloudflare 保护，这表明流量分布在多个端点上。

该活动随后蔓延至 100 多个域名，其中伊朗的 .ir 国家代码域名占比过高。

大多数域名注册于2025年9月至11月之间，并在3月份的观察期内出现类似的流量高峰之前一直处于休眠状态。其中一些域名的吞吐量接近原始域名，但没有一个域名达到其峰值。

欧亚大陆和南亚地区已建立的DNS隧道服务也经历了活动加剧。DomainTools表示，此次活动升级发生在美以联合轰炸行动开始约24小时后，而外部迹象表明攻击源头可能位于伊朗附近或伊朗境内。但仅凭时间点无法确定攻击来源。