Где используются случайно сгенерированные доменные имена?

Я по каким причинам начал с тора, тор обычно характеризуется 9001 портом, так вот коннекты на эти странные доменные адреса идут на 9001 порт:

www.yf3racy.com:9001/

Соответственно в логах FW, эти записи и всплывают.

ну порт всегда произвольный можно указать, так что не показатель :)
ещё по дефолту 9001 используют cisco-xremote router configuration и DBGp Proxy

cssman: хорошо, тогда можно как-то обеспечить спокойный сон и убедиться в том, что грубо-говоря это соединение с TOR?

Из самых простых идей, которые я пробовал - постучать туда.
Проблема в том, что не по этому порту, не по какому другому тот же www.yf3racy.com не отвечает.
Хотя я наверное не тем чем надо стучусь.

Gudsaf: А то что это кто-то с выходной ноды с днс однодневки долбится Вас не пугает? Блокируйте сразу.
Проверить не получится, т.к. судя по Вашим словам днс имя одноразовое (no-ip какой нибудь). Есть мизерный шанс, что можно найти такой же линк name.onion , но не факт что это то самое, что ищете.

cssman: нет, это не с выходной ноды к нам стучатся, а мы стучимся по этим именам с нашей подсети (машины легальных пользователей).

в подавляющем большинстве на машинах пользователей которые делают запросы по таким рандомным именам установлен тор-браузер, по этой причине и ролилась идея что тут как-то замешан тор.. да, тут бы книжку с хорошим описанием процесса установления связи с тор сетью. атаки овер-днс уже читаю.

cssman:
Буквально минут 10 назад скачали тор-браузер на клиент и попытались подсоединиться к тор-сети.
На момент подсоединения сняли логи с FW.

Итог следующий: при соединении с тор-сетью появляются запросы на:
www.2s62bq1vl7.com
www.txalk22x.com
www.12esvl.com

по портам: 9001 и 443.

Видимо стоит почитать про тор.