ИБ-специалисты из компании Infoblox предупреждают о масштабной схеме использования доменов с истекшим сроком регистрации. Злоумышленники массово скупают такие адреса вместе с их репутацией, старым трафиком и бэклинками, а затем используют для реализации мошеннических схем, распространения малвари и перенаправления пользователей. Одна из хак-групп, Sable Squirrel, потратила на домены почти 7 млн долларов США.

В Infoblox называют повторно зарегистрированные адреса дропкетч-доменами (dropcatch domains) и сообщают, что в первой половине 2026 года ежедневно перерегистрировалось около 50 400 таких доменов в общих доменных зонах (.com, .org, .net и так далее), а с учетом национальных зон показатель достигает примерно 65 000 доменов в день. В итоге на дропкетч приходится около 20% новых регистраций в день (каждый пятый вновь зарегистрированный домен).

Обычно ценность таких адресов связана с их «прошлой жизнью»: они могут сохранять хорошую репутацию в защитных системах, старые ссылки и привлекать остаточный трафик от прежних сайтов. Кроме того, на старые адреса в таких доменах могут по-прежнему приходить письма, а DNS-записи иногда открывают дополнительные возможности для атак.

По словам исследователей, ярким примером такой активности является группировка Sable Squirrel. Так, по оценке Infoblox, ее операторы контролируют более 10 000 доменов и скупают адреса с истекшим сроком регистрации как минимум с июня 2023 года. Основой бизнеса этой группировки являются пиратские спортивные трансляции для азиатской аудитории, через которые пользователей перенаправляют на сайты онлайн-ставок.

При этом часть инфраструктуры Sable Squirrel используется для работы малвари: к доменам хак-группы обращались более 31 000 образцов вредоносов, включая Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT и njRAT. Причем некоторые сайты одновременно показывали посетителям спортивные трансляции и работали в качестве управляющих серверов для малвари.

К примеру, атакующие приобрели домен cel-robox[.]com, ранее принадлежавший производителю настольных 3D-принтеров, и превратили его одновременно в пиратский стриминговый сайт и управляющий сервер для Quasar RAT.

Также в отчете отмечается, что в распоряжение группировки попали бывшие домены проектов таких крупных компаний, как General Electric, Procter & Gamble и Sony.

Исследователи отмечают, что злоумышленники стараются использовать доставшуюся им репутацию домена как можно быстрее: 24% купленных Sable Squirrel дропкетч-доменов начинают работать сразу в день регистрации, 76% — в течение недели, и 94% — в течение двух недель.

Подчеркивается, что Sable Squirrel далеко не единственная хак-группа, зарабатывающая на старых доменах. Также аналитики компании отслеживают группировки Stuffy Squirrel, Shady Squirrel и Swiping Squirrel, которые контролируют тысячи адресов и перехватывают оставшийся от прежних владельцев трафик. Обычно такой трафик перенаправляют в рекламные сети, на мошеннические сайты и к другим киберпреступникам.

Эксперты предостерегают, что домены с хорошей историей могут превращаться из доверенных ресурсов в часть вредоносной инфраструктуры практически сразу после истечения срока регистрации и передачи новым владельцам.