I siti web inattivi in ​​realtà non muoiono mai del tutto.

Un nome di dominio è quanto di più simile a un punteggio di credito si possa trovare sul web; fattori come l'età, i link in entrata, la visibilità sui motori di ricerca e la reputazione contribuiscono a determinare i punteggi di reputazione che i prodotti di sicurezza consultano prima di decidere se una richiesta merita attenzione.

Una nuova ricerca di Infoblox Threat Intel afferma che questa storia è diventata una merce con un prezzo di mercato e che almeno un'organizzazione criminale la stava acquistando in grandi quantità.

Lo studio, pubblicato in tre parti, si concentra su quelli che nel settore vengono definiti "domini dropcatch": nomi di dominio scaduti, restituiti al registro e successivamente registrati nuovamente da un soggetto completamente diverso.

Impostazione di domini di acquisizione dopo la scadenza: un azzardo con una vulnerabilità che consente l'installazione di malware.

L'acquisizione di domini dopo la loro scadenza non è una novità; da anni esistono software in grado di rilevare i domini scaduti, generando talvolta enormi profitti per gli utenti che li implementano.

Ciò consente agli utenti di iniziare con domini che hanno già una storia a loro favore, oppure di vendere determinati domini a un prezzo che spesso è il doppio del prezzo di acquisto originale del dominio.

Infoblox ha registrato una media di 50,400 nuove registrazioni al giorno per i domini di primo livello generici (gTLD) nella prima metà del 2026, cifra che sale a circa 65,000 includendo i domini di primo livello nazionali (ccTLD). Ciò rappresenta circa un quinto di tutte le registrazioni giornaliere. Il tasso più elevato è stato osservato per i domini .net e .xyz, con quasi tre su dieci nomi di dominio appena registrati che presentavano una storia precedente, seguiti dai domini .com con il 24.5%.

Il problema, però , è che non tutte queste operazioni sembrano innocenti o semplici attività speculative su piccola scala: Infoblox ha identificato un'entità che chiama Sable Squirrel, parte di una convenzione di denominazione che l'azienda applica ai repository di domini. Questa entità controlla più di 10,000 domini, la maggior parte dei quali supporta un'operazione di pirateria sportiva su larga scala in lingua vietnamita, operante con marchi come Xoilac, Cakhia, 90phut, Socolive e MiTom.

Infoblox stima che la spesa totale dell'operatore per i domini scaduti superi i 7 milioni di dollari, una cifra che definisce il budget di acquisizione di domini più elevato mai registrato per un singolo operatore in questo settore. Il problema più grave è che Infoblox ha anche scoperto che una parte di questi domini di streaming veniva utilizzata come server di comando e controllo per malware, pur continuando a fornire lo streaming in diretta delle partite di calcio agli utenti umani.

Sono stati identificati oltre 31,000 campioni connessi all'infrastruttura di Sable Squirrel, tra cui malware come Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos e njRAT, nonché campioni recanti le firme del ransomware HiddenTear.

Infoblox ha riferito che la negligenza dell'operatore ha reso facile individuare il collegamento; molti dei campioni contenevano i nomi commerciali degli autori nei metadati dei loro eseguibili Windows , con campi che riportavano socolive, xoilac e 8xbet. Infoblox ha confermato che 405 domini fungevano da server di comando e controllo (C2) per il malware, rappresentando circa il quattro percento del totale dei domini controllati dall'organizzazione. L'utilizzo di questi domini come arma è avvenuto in un'unica ondata alla fine del 2025, anziché essere l'obiettivo originario dell'operazione.

L'attività principale di Sable Squirrel è il gioco d'azzardo e, sebbene cerchi di mascherarla come un servizio di streaming, funziona anche come canale di acquisizione per lo stesso scopo. Nonostante le forze dell'ordine non siano rimaste in silenzio sulla questione, il suo successo è stato a dir poco limitato: le autorità vietnamite hanno congelato alcuni importanti siti web nel febbraio 2026 e incriminato 30 sospetti a marzo.

Le autorità hanno anche sequestrato beni che Infoblox stima valere circa 12 milioni di dollari, ma l'entità sembra essere sopravvissuta e continua ad espandersi, avendo acquisito e gestito domini incentrati sui Mondiali di calcio a partire da giugno, aumentando ulteriormente la sua presenza in un mondo in cui ha già definito una parte significativa di quello che è senza dubbio un bene di grande valore: l'autorità dei domini.