Você está descrevendo um comportamento bastante normal, conhecido e documentado.
O que acontece é que quando o resolvedor não consegue resolver um nome DNS, ele tentará resolvê-lo anexando todos os domínios na sua diretiva search à consulta original nas curvas (se não tiver uma correspondência na meio processo).
O processo é um pouco confuso, e vários domínios de pesquisa podem ser combinados devido à natureza recursiva do processo.
A maneira de minimizar / evitar a expansão do domínio, ao resolver nomes DNS, está na diretiva search (ou em qualquer local que você configure seus domínios de pesquisa) ou mesmo no nível aplicacional, encerrando os nomes DNS / domínio com um ".".
Como em:
search domainspec.com. domain.com. example.com.
Além disso, como exemplo, ao fazer um ping, a expansão da pesquisa de domínio também pode ser evitada caso a caso:
ping www.example.com.
ou
ping www.cnn.com.
search Search list for host-name lookup.
The search list is normally determined from the local domain name; by default, it contains only the local domain name. This may be changed by listing the desired domain search path following the search keyword with spaces or tabs separating the names. Resolver queries having fewer than ndots dots (default is 1) in them will be attempted using each component of the search path in turn until a match is found. For environments with multiple subdomains please read options ndots:n below to avoid man-in-the-middle attacks and unnecessary traffic for the root-dns-servers. Note that this process may be slow and will generate a lot of network traffic if the servers for the listed domains are not local, and that queries will time out if no server is available for one of the domains. The search list is currently limited to six domains with a total of 256 characters.