สรุปสั้น
บริษัท DomainTools เผยแพร่ผลการสืบสวนเมื่อวันที่ 9 ตุลาคม 2569 ถึงกิจกรรม VPN-over-DNS ที่คาดว่ามาจากอิหร่านซึ่งพุ่งสูงอย่างไม่เคยเกิดขึ้นมาก่อน โดเมนเดียวคือ supaghost[.]cc สร้างข้อมูลการสังเกต DNS แบบ passive ถึง 40,000 ล้านรายการภายในไม่กี่วัน กิจกรรมเริ่มราว 07:00 น. UTC ของวันที่ 1 มีนาคม 2569 และเร่งตัวอย่างรวดเร็วตอนเที่ยง ซึ่งเป็นเวลาประมาณ 24 ชั่วโมงหลังสหรัฐฯ และอิสราเอลเปิดฉากทิ้งระเบิดอิหร่าน จากนั้นโครงสร้างพื้นฐานขยายไปกว่า 100 โดเมน โดยโดเมน .ir ของอิหร่านมีสัดส่วนสูงผิดปกติ
ข้อมูลส่วนใหญ่เป็นเรคคอร์ด TXT ที่มีโครงสร้างสอดคล้องกับการใช้ DNS เป็นท่อส่งข้อมูลสองทาง แต่ DomainTools ไม่ได้ถอดรหัสข้อมูลเหล่านั้น จึงยังยืนยันไม่ได้ว่าใครเป็นผู้ควบคุม ส่งเนื้อหาอะไร หรือทำไปเพื่ออะไร สมมติฐานที่ว่าเป็นการสำรองข้อมูลนอกสถานที่แบบฉุกเฉิน หรือเกี่ยวกับปฏิบัติการของรัฐบาลและข้อมูลโครงการนิวเคลียร์ ล้วนเป็นการคาดการณ์ ไม่ใช่ข้อค้นพบ และตัวเลข 40,000 ล้านเป็นจำนวนการสังเกต DNS ไม่ใช่จำนวนไฟล์ แพ็กเก็ตที่ถอดได้ หรือปริมาณข้อมูลที่ถูกขโมย
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 10 ตุลาคม 2569 อ้างรายงานของ DomainTools ว่าเรื่องนี้เริ่มจากวิศวกรของบริษัทสืบหาสาเหตุที่เซิร์ฟเวอร์รับข้อมูลเกิดคอขวด แล้วพบว่าข้อมูลค้างเกิดจาก supaghost[.]cc ซึ่งสร้างการสังเกตได้สูงสุด 500,000 รายการต่อวินาที ตามปกติ DomainTools ประมวลผล ตัดข้อมูลซ้ำ และตรวจสอบการสังเกตราว 1 ล้านรายการต่อวินาที โดเมนเดียวจึงเพิ่มภาระระบบรับข้อมูลราว 50% และสะสมจนถึง 40,000 ล้านรายการก่อนที่วิศวกรจะเริ่มกรองทราฟฟิกของมันออก
โดเมนส่วนใหญ่ในกลุ่มนี้จดทะเบียนระหว่างกันยายนถึงพฤศจิกายน 2568 และอยู่เฉย ๆ มาก่อนจะพุ่งขึ้นพร้อมกันในช่วงมีนาคม บางโดเมนมีปริมาณใกล้โดเมนต้นทาง แต่ไม่มีตัวใดถึงจุดสูงสุดของมัน ขณะเดียวกันบริการ DNS tunneling ที่มีอยู่แล้วในยูเรเชียและเอเชียใต้ก็มีกิจกรรมเข้มข้นขึ้นด้วย ตัวบ่งชี้ภายนอกชี้ว่าต้นทางอยู่ใกล้หรืออยู่ในอิหร่าน แต่ DomainTools ย้ำว่าจังหวะเวลาอย่างเดียวไม่ได้พิสูจน์ผู้อยู่เบื้องหลัง
DomainTools ระบุว่าเริ่มแจ้งข้อสังเกตนี้แบบเงียบ ๆ ตั้งแต่มีนาคม และตัดสินใจเผยแพร่ต่อสาธารณะเพื่อให้องค์กรอื่นที่เห็นกิจกรรมลักษณะเดียวกันช่วยยืนยันหรือเสริมข้อมูล
วิธีการโจมตี
VPN-over-DNS ใช้คำขอและคำตอบ DNS เป็นช่องทางสื่อสารสองทางข้ามขอบเขตเครือข่าย โดยดัดแปลงระบบแปลงชื่อโดเมนให้เป็นท่อส่งข้อมูล เรคคอร์ด TXT บรรจุข้อมูลอะไรก็ได้ ขณะที่ label ของ subdomain ที่สร้างด้วยอัลกอริทึมก็เป็นอีกทางหนึ่งในการส่งข้อมูลขาออก เทคนิคนี้มักใช้ได้แม้เครือข่ายจะบล็อกโปรโตคอลอื่นเกือบหมด เพราะการแปลงชื่อโดเมนเป็นบริการพื้นฐานที่แทบไม่มีใครปิด
นาย Ian Campbell นักวิจัยของ DomainTools ประเมินว่า payload ใน TXT น่าจะประกอบด้วยแพ็กเก็ตไบนารีหลายชุดที่ multiplex รวมกันเพื่อเพิ่มประสิทธิภาพ แล้ว exit node จะถอดและส่งต่อทราฟฟิกที่ห่อไว้ แต่นี่เป็นการประเมินจากโครงสร้างเท่านั้น ไม่ใช่การถอดข้อมูลจริง หลักฐานการทำ tunneling สองทางอีกส่วนมาจากรูปแบบการมอบหมาย (delegation) เช่น slsa1.supaghost[.]cc ถูกมอบหมายไปยัง sa1.supaghost[.]cc และมีการจับคู่ลักษณะเดียวกันไปจนถึง slsa6 ส่วนโฮสต์ nameserver มักชี้ไปยัง VPS ราคาถูกแยกกันหลายเครื่องที่ DomainTools ระบุว่าอยู่หลัง Cloudflare ซึ่งบ่งชี้ว่ามีการกระจายทราฟฟิกไปหลาย endpoint
ผลกระทบ
กรณีนี้แสดงให้เห็นว่าในช่วงความขัดแย้งทางทหารและการจำกัดอินเทอร์เน็ต DNS กลายเป็นช่องทางสื่อสารสำรองขนาดใหญ่ได้อย่างรวดเร็ว ไม่ว่าผู้ใช้จะเป็นประชาชนที่หลบการเซ็นเซอร์ หน่วยงานที่เร่งสำรองข้อมูล หรือผู้ก่อภัยที่ลักลอบส่งข้อมูลออก ปริมาณระดับนี้กระทบได้แม้กระทั่งผู้ให้บริการข้อมูล DNS เชิงพาณิชย์ และการที่โดเมนจำนวนมากถูกจดทะเบียนไว้ล่วงหน้าหลายเดือนก่อนใช้งานจริงบ่งชี้ถึงการเตรียมการ
สำหรับผู้ป้องกันทั่วไป บทเรียนคือ DNS tunneling ยังเป็นช่องทางขโมยข้อมูลออกที่หลุดการเฝ้าระวังได้ง่าย เพราะหลายองค์กรไม่ได้วิเคราะห์ปริมาณและเนื้อหาของคำขอ DNS ขาออก ทั้งนี้ข่าวนี้ยังไม่มีหลักฐานว่ากิจกรรมดังกล่าวเป็นการโจมตีองค์กรใดโดยตรง
คำแนะนำ
- เฝ้าระวังคำขอ DNS ขาออกที่มีปริมาณผิดปกติไปยังโดเมนเดียว โดยเฉพาะเรคคอร์ด TXT จำนวนมากและ subdomain ที่ยาวหรือดูเป็นข้อความสุ่ม
- บังคับให้เครื่องในองค์กรใช้ DNS resolver ที่องค์กรควบคุมเท่านั้น บล็อก DNS ขาออกตรงไปยังอินเทอร์เน็ต และวิเคราะห์ล็อกของ resolver ด้วยกฎตรวจจับ DNS tunneling
- พิจารณาใช้ protective DNS หรือ RPZ บล็อกโดเมนที่เพิ่งจดทะเบียนหรือมีพฤติกรรม tunneling และเพิ่ม
supaghost[.]ccกับ subdomain ที่เกี่ยวข้องเข้า watchlist - ตั้ง baseline ปริมาณ DNS ต่อเครื่องเพื่อจับเครื่องที่สร้างคำขอมากผิดปกติ ซึ่งอาจเป็นเครื่องมือ VPN-over-DNS ที่ผู้ใช้ติดตั้งเองหรือมัลแวร์