• Угроза Infoblox Intel подсчитала, что в первой половине 2026 года каждый день перерегистрировалось примерно 65 000 доменов с истекшим сроком действия, что составляет почти каждый пятый из всех новых регистраций.
  • Актер, которого он называет Sable Squirrel, контролирует более 10 000 доменов и, по экстраполяции, потратил более 7 миллионов долларов на покупку просроченных имен для своего унаследованного трафика и авторитет домена
  • Некоторые из доменов также используются в качестве структур управления и контроля для существующих вредоносных программ, которые можно отследить до одной и той же группы.

Доменное имя — это самое близкое к кредитной истории Интернета: возраст, входящие ссылки, видимость в поиске и репутация — все это влияет на показатели репутации, с которыми обращаются продукты безопасности, прежде чем решить, стоит ли беспокоиться о запросе.

Новое исследование от Infoblox Угроза Intel утверждает, что эта история стала товаром с рыночной ценой, и что по крайней мере одна преступная операция покупала ее

Исследование, опубликованное в виде серии из трех частей, посвящено тому, что в отрасли называется доменами dropcatch: имена, срок действия которых истек, были возвращены в реестр, а затем полностью перерегистрированы кем-то другим.

Ситуация с доменом dropcatch: игорный бизнес с возможностью использования вредоносного ПО catch

Домены Dropcatch не новы; Программное обеспечение уже много лет предназначено для обнаружения доменов с истекающим сроком действия, и иногда оно приносит случайную крупную выгоду пользователям, развертывающим такие решения.

Это позволяет пользователям начать с доменов, которые уже имеют приносящую им пользу историю, или поменять определенные домены по цене, которая часто кратна первоначальной цене покупки домена.

Infoblox насчитала в среднем 50 400 таких повторных регистраций в день для общих доменов верхнего уровня в первой половине 2026 года, а после добавления доменов с кодом страны их число вырастет примерно до 65 000. Это составляет почти пятую часть всех ежедневных регистраций. Самый высокий показатель наблюдается в доменах .net и .xyz, где почти три из десяти недавно обнаруженных имен имели предыдущую жизнь, а .com отстает от них - 24,5%.

Проблема в том, что не все из этих операций кажутся невинными или мелкомасштабными скальпирующими операциями: Infoblox идентифицировал объект, который он назвал Sable Squirrel, что является частью соглашения об именах, которое компания применяет к накопителям доменов. Он контролирует более 10 000 доменов, большинство из которых поддерживают крупную операцию по борьбе с спортивным пиратством на вьетнамском языке, действующую под такими брендами, как Xoilac, Cakhia, 90phut, Socolive и MiTom.

Infoblox оценивает общие расходы актера на домены с истекшим сроком действия примерно в 7 миллионов долларов, что, по его словам, является самым большим бюджетом на приобретение доменов, который он определил для одного участника отрасли. Более серьезная проблема заключается в том, что Infoblox также обнаружил, что подмножество этих потоковых доменов работает как командование и контроль вредоносных программ, продолжая при этом транслировать футбольные матчи для посетителей-людей.

Более 31 000 выявленных образцов были возвращены в инфраструктуру Sable Squirrel, включая Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos и njRAT, а также образцы, несущие сигнатуры вымогателя HiddenTear.

Infoblox утверждает, что невнимательность оператора облегчила поиск ссылки: многие образцы содержат названия брендов актера в исполняемых метаданных Windows, а поля содержат названия socolive, xoilac и 8xbet. Infoblox подтвердил, что 405 доменов относятся к вредоносному ПО C2, что составляет примерно четыре процента от общего числа доменов, контролируемых организацией, и в конце 2025 года использование оружия произошло единой волной, а не как первоначальная цель операции.

Основной бизнес Sable Squirrel — это азартные игры, и хотя организация пытается замаскировать это под потоковую операцию, она также выступает в качестве канала для ее приобретения. Хотя правоохранительные органы здесь не молчали, в лучшем случае им повезло: вьетнамские власти заморозили некоторые из основных сайтов в феврале 2026 года и предъявили обвинения 30 подозреваемым в марте.

Они также конфисковали активы, которые Infoblox оценивает примерно в 12 миллионов долларов, но, похоже, компания выжила и продолжает расширяться, приобретя и управляя с июня доменами, ориентированными на чемпионат мира, что еще больше расширяет свое присутствие в мире, где она уже определила и обеспечила большую часть того, что, возможно, является очень важным товаром: авторитет домена.