Martwe strony tak naprawdę nie umierają.

Nazwa domeny to w sieci coś, co najbardziej przypomina ocenę wiarygodności kredytowej. Takie czynniki jak wiek, linki przychodzące, widoczność w wyszukiwarkach i reputacja wpływają na ocenę reputacji, którą produkty zabezpieczające biorą pod uwagę przed podjęciem decyzji, czy prośba jest uzasadniona.

Według najnowszych badań firmy Infoblox Threat Intel historia ta stała się towarem mającym cenę rynkową i że przynajmniej jedna organizacja przestępcza skupowała ją w dużych ilościach.

Badanie, opublikowane w formie trzyczęściowego cyklu, koncentruje się na tym, co w branży nazywa się „domenami typu dropcatch”: nazwami domen, które wygasły, zostały zwrócone do rejestru, a następnie ponownie zarejestrowane przez zupełnie inną stronę.

Konfigurowanie domen przejęcia po wygaśnięciu: hazard z luką umożliwiającą instalację złośliwego oprogramowania

Nabywanie domen po ich wygaśnięciu nie jest niczym nowym. Od lat istnieje oprogramowanie służące do wykrywania wygasłych domen, co niekiedy przynosi ogromne korzyści użytkownikom wdrażającym takie rozwiązania.

Dzięki temu użytkownicy mogą zaczynać od domen, które mają już korzystną dla nich historię, lub sprzedawać wybrane domeny po cenie, która często stanowi dwukrotność pierwotnej ceny zakupu domeny.

Firma Infoblox oszacowała, że ​​w pierwszej połowie 2026 roku liczba ponownych rejestracji wyniosła średnio 50 400 dziennie w domenach generycznych najwyższego poziomu (gTLD), a po uwzględnieniu domen krajowych najwyższego poziomu (ccTLD) wzrosła do około 65 000. Stanowi to około jedną piątą wszystkich dziennych rejestracji. Najwyższy wskaźnik odnotowano dla domen .net i .xyz, gdzie prawie trzy na dziesięć nowo zarejestrowanych nazw miało już wcześniej zarejestrowaną nazwę. Na drugim miejscu znalazły się domeny .com (24.5%).

Problem polega jednak na tym, że nie wszystkie te operacje wydają się niewinne lub jedynie spekulacyjne: Infoblox zidentyfikował podmiot, który nazywa Sable Squirrel, co jest częścią konwencji nazewnictwa stosowanej przez firmę w odniesieniu do repozytoriów domen. Podmiot ten kontroluje ponad 10 000 domen, z których większość obsługuje zakrojoną na szeroką skalę operację piractwa sportowego w języku wietnamskim, działającą pod markami takimi jak Xoilac, Cakhia, 90phut, Socolive i MiTom.

Infoblox szacuje, że łączne wydatki operatora na wygasłe domeny przekraczają 7 milionów dolarów, co stanowi największy budżet na przejęcie domen, jaki zidentyfikował dla pojedynczego operatora w tym sektorze. Większy problem polega na tym, że Infoblox odkrył również, że część tych domen strumieniowych była wykorzystywana jako serwery dowodzenia i kontroli dla złośliwego oprogramowania, jednocześnie zapewniając transmisję meczów piłkarskich na żywo dla widzów.

Zidentyfikowano ponad 31 000 próbek połączonych z infrastrukturą Sable Squirrel. Wśród nich znajdowało się złośliwe oprogramowanie, takie jak Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos i njRAT, a także próbki noszące sygnatury ransomware HiddenTear.

Firma Infoblox poinformowała, że ​​zaniedbanie operatora ułatwiło znalezienie linku; wiele próbek zawierało nazwy marek sprawców w metadanych plików wykonywalnych systemu Windows , z polami zawierającymi nazwy socolive, xoilac i 8xbet. Firma Infoblox potwierdziła, że ​​405 domen działało jako serwery dowodzenia i kontroli (C2) dla złośliwego oprogramowania, co stanowiło około czterech procent wszystkich domen kontrolowanych przez organizację. Uzbrojenie tych domen nastąpiło w ramach pojedynczej fali pod koniec 2025 roku, a nie było pierwotnym celem operacji.

Głównym obszarem działalności Sable Squirrel jest hazard i choć firma stara się to ukryć pod przykrywką streamingu, działa również jako kanał pozyskiwania graczy w tym samym celu. Chociaż organy ścigania nie milczały w tej sprawie, jej sukces był w najlepszym razie ograniczony: wietnamskie władze zamroziły kilka dużych stron internetowych w lutym 2026 roku, a w marcu postawiły w stan oskarżenia 30 podejrzanych.

Władze przejęły również aktywa, których wartość firma Infoblox oszacowała na około 12 milionów dolarów, jednak podmiot ten najwyraźniej przetrwał i nadal się rozwija, nabywając i obsługując domeny związane z Mistrzostwami Świata od czerwca, jeszcze bardziej zwiększając swoją obecność na świecie, gdzie zyskał już znaczną część niezwykle cennego zasobu: autorytetu domen.