Коли проєкт The Honeynet Project у 2007 році вперше задокументував техніку Fast Flux, пул IP-адрес, що змінювалися, складався у власну бот-мережу зловмисника: тисяч заражених домашніх комп'ютерів, що діяли як проксі перед справжнім сервером. Відтоді ця техніка еволюціонувала та розширилася, ставши доступнішою для зловмисників і складнішою для блокування. 
Сьогодні аналогічні можливості здаються в оренду за передплатою, відкрито рекламуються на форумах кіберзлочинців та продаються провайдерами (зокрема, щонайменше одним підсанкційним хостером — bulletproof hoster). Оператори фішингових атак просто підключають свої домени до цієї служби, а провайдер забезпечує ротацію базової інфраструктури. 
У спеціалістів з безпеки є два шляхи заблокувати зловмисний сайт: заблокувати домен або IP-адресу, на яку він спрямований. Блокування доменів працює, але повільно, оскільки залежить від реєстраторів, реєстрів або судів і вимагає знання кожного домена, що використовується в операції. 
З іншого боку, блокування IP-адрес відбувається швидко, але Fast Flux створений саме для того, щоб його обійти: один домен почергово використовує постійно мінливий пул IP-адрес, розташованих у різних мережах і часто в різних країнах. Заблокуйте одну IP-адресу — і домен перенаправиться на іншу вже за лічені хвилини. Спеціалісти в результаті вимушені переслідувати рухому ціль — одноразові адреси. Щодо фішингу, інфраструктури управління та контролю (C2) та шахрайських схем це перетворює блокування IP-адрес на програшну гру і залишає домен єдиною стійкою точкою відмови. 

Щоб краще зрозуміти, як виявляти цей шар, команда дослідників Silent Push зробила те, що фахівці з безпеки роблять украй рідко: вони стали клієнтами. Експерти придбали послугу Fast Flux на ринку, простежили за поведінкою інфраструктури зсередини та перетворили отримані знання на аналітику для виявлення. 
За допомогою лише одного запиту на своїй платформі аналітики виявили тисячі активних фішингових доменів. Серед них — масштабна активна банківська фішингова операція, орієнтована на Канаду, яка ховається за комерційними системами маскування трафіку. Ця схема настільки ефективна, що переважна більшість зовнішніх сканерів бачить лише сторінку помилки «404». 
У квітні 2025 року агентство CISA спільно з NSA, FBI та міжнародними партнерами опублікувало звіт Fast Flux: A National Security Threat, у якому застерегло, що Fast Flux «експлуатує прогалину, яка зазвичай зустрічається в мережевих захистах». Документ прямо закликає провайдерів послуг «розробляти точну, надійну та своєчасну аналітику виявлення Fast Flux і можливості блокування». Саме це і забезпечує система превентивного кіберзахисту від Silent Push. 

У ході OSINT-дослідження один із аналітиків загроз виявив ще одну пропозицію Fast Flux-панелі, розміщену на російськомовному кримінальному форумі користувачем на ім’я «Yalishanda». Ціноутворення було багаторівневим — до $550 за необмежену кількість доменів, із підтримкою російською, англійською та китайською мовами. 
«Yalishanda» рекламував кастомну зашифровану проксі-інфраструктуру, штучний трафік та захищений від зловживань хостинг від імені Media Land — провайдера, підсанкційованого Міністерством фінансів США за підтримку програм-вимагачів (ransomware) та інших операцій кіберзлочинців. 

Fast Flux — добре відома й популярна техніка, яку використовують як кіберзлочинні угруповання, так і державні суб'єкти (APT). Рекомендація CISA звучить прямо: фахівці з інформаційної безпеки не повинні покладатися на те, що їхні поточні провайдери виявляють цю загрозу. Організаціям, які прагнуть закрити цю прогалину, варто діяти у трьох напрямках: 
● Потоки IOFA (Indicators of Future Attack): Потоки Silent Push IOFA® для цієї Fast Flux інфраструктури (включаючи потоки Fast Flux, Dnspod Domains та IPs) доступні через API та STIX/TAXII для прямої інтеграції у фаєрвол, SIEM або EDR. Ці канали позначають домени в той самий момент, коли вони делегуються на сервери імен типу Fast Flux, ще до надсилання першої приманки, та відстежують пули IP-адрес, що постійно змінюються, завдяки чому блокування залишається ефективним навіть під час зміни адрес.  
● Виявлення на рівні DNS: Відповідно до рекомендацій CISA, організаціям варто впровадити аналітику виявлення Fast Flux на рівні DNS: налаштувати сповіщення про домени з високою різноманітністю IP/ASN, аномально низькими TTL (Time-To-Live) та суперечливою геолокацією IP, а також перевірити, чи захисний DNS-провайдер реально блокує Fast Flux-поведінку. Клієнти Silent Push можуть запускати таку перевірку для будь-якого домена напряму — вкладка Total View Infrastructure Variance показує динаміку різноманітності IP та ASN домена з плином часу, роблячи ротацію помітною за секунди.