Se ha descubierto una anomalía masiva en la tunelización DNS de VPN iraníes.

Un extraordinario aluvión de tráfico DNS sobrecargó la infraestructura de DomainTools hasta tal punto que un solo dominio generó hasta 500.000 observaciones nuevas por segundo durante los picos de tráfico. En el transcurso de varios días, el dominio supaghost[.]cc acumuló aproximadamente 40.000 millones de registros, y la arquitectura del tráfico presentaba las características inconfundibles de una VPN que operaba sobre DNS. Los indicadores técnicos apuntaban a un origen iraní para esta actividad; sin embargo, los investigadores no pudieron determinar el propietario de la infraestructura ni el contenido específico de los datos transmitidos.

Mecánica de la intrusión de tunelización DNS

Los analistas descubrieron esta grave anomalía el 1 de marzo de 2026. La red DNS pasiva operada por DomainTools normalmente procesa, verifica y deduplica aproximadamente un millón de observaciones por segundo. El flujo incesante proveniente del dominio supaghost[.]cc incrementó la carga operativa total en casi un cincuenta por ciento.

La gran mayoría de estos registros anómalos pertenecían a la clasificación TXT, un protocolo que permite específicamente la inserción de datos arbitrarios dentro de la infraestructura DNS. Un análisis minucioso de la carga útil reveló las características distintivas del túnel DNS: la utilización de consultas y respuestas DNS como un canal de transporte subterráneo, eludiendo así las conexiones de red convencionales. Esta ingeniosa arquitectura facilita la transmisión de comandos, archivos o tráfico diverso a través de redes altamente restrictivas donde los protocolos tradicionales sufren una obstrucción constante o un filtrado riguroso.

Dentro de los registros TXT de supaghost[. ]cc, los investigadores observaron cargas útiles fragmentadas que se asemejaban intrincadamente a múltiples paquetes de red binarios, fusionados sin problemas para optimizar la eficiencia de la transmisión. Este sofisticado marco presumiblemente dirigía los paquetes hacia servidores DNS especializados, donde los datos codificados podían descifrarse y posteriormente enviarse a través de un nodo de salida designado. Los subdominios individuales dividían de forma estratégica el flujo masivo entre distintos servidores de nombres conectados directamente a servidores virtuales privados (VPS) económicos. Expansión de la infraestructura en medio de los apagones de internet

DomainTools se abstuvo de intentar descifrar el contenido cifrado del canal; por consiguiente, el propósito final de la información transmitida permanece envuelto en la oscuridad. Los especialistas solo pudieron descifrar la arquitectura técnica subyacente del intercambio. La naturaleza intrínseca de las consultas DNS y las respuestas correspondientes indicaba inequívocamente un paradigma de transmisión de datos bidireccional, un requisito fundamental para un túnel completo y funcional, en lugar de una simple canalización de exfiltración de datos unidireccional.

La magnitud de esta actividad trascendió rápidamente los límites de supaghost[. ]cc. Los investigadores identificaron patrones de comportamiento profundamente similares en una constelación de más de 100 dominios distintos, con el dominio de nivel superior de código de país iraní ".ir" presente de forma desproporcionada entre las direcciones asociadas. Una parte sustancial de esta infraestructura encubierta se registró discretamente entre septiembre y noviembre de 2025. Estos dominios permanecieron inactivos, prácticamente sin actividad, hasta principios de marzo, cuando varias direcciones comenzaron a generar repentinamente volúmenes colosales de tráfico DNS análogo.

Esta explosión repentina de actividad coincidió precisamente con una drástica restricción del acceso a internet en Irán. El 28 de febrero, Cloudflare documentó un apagón catastrófico, en el que el tráfico procedente del país se desplomó drásticamente por debajo del uno por ciento de su nivel histórico. Sorprendentemente, las rutas de enrutamiento fundamentales hacia las redes iraníes permanecieron prácticamente intactas, lo que sugiere la implementación de medidas drásticas de filtrado de tráfico en lugar de una interrupción física de la infraestructura subyacente.

Conexiones geopolíticas no verificadas

Esta correlación temporal no prueba de forma concluyente un vínculo causal entre las restricciones de internet y el inicio del túnel DNS. Sin embargo, DomainTools afirma que indicadores técnicos adicionales corroboraron de forma independiente la hipótesis de que este tráfico torrencial se originó en Irán o en su entorno geopolítico inmediato. Además, los investigadores observaron un aumento significativo en la carga operativa soportada por los servicios de tunelización DNS preexistentes en toda Eurasia y el sur de Asia.

Los autores de la investigación admiten la posibilidad de que actores maliciosos prepararan meticulosamente esta infraestructura con antelación, estableciendo un canal de contingencia resiliente diseñado para facilitar la transmisión de grandes volúmenes de datos durante una crisis grave. Sin embargo, califican explícitamente dicha explicación como puramente conjetural. De igual modo, las hipótesis que sugieren una conexión clandestina con el aparato estatal iraní carecen por completo de pruebas sustanciales. Actualmente, los únicos hechos irrefutables son la magnitud sin precedentes del registro DNS.