Мертвые сайты на самом деле не умирают.

Доменное имя — это, пожалуй, самый близкий аналог кредитного рейтинга в интернете; такие факторы, как возраст домена, входящие ссылки, видимость в поисковых системах и репутация, влияют на оценку репутации, которую используют продукты безопасности, прежде чем решить, заслуживает ли запрос внимания.

Новое исследование Infoblox Threat Intel утверждает , что эта история стала товаром с рыночной ценой, и что по меньшей мере одна преступная организация скупала её в больших количествах.

Исследование, опубликованное в виде серии из трех частей, посвящено тому, что в отрасли называют «доменами-ловушками»: доменным именам, срок действия которых истек, которые затем возвращаются в реестр и впоследствии перерегистрируются совершенно другой стороной.

Настройка доменов приобретения после истечения срока их действия: игра с уязвимостью, позволяющей использовать вредоносное ПО.

Приобретение доменов после истечения срока их действия — не новая практика; программное обеспечение для обнаружения просроченных доменов существует уже много лет и иногда приносит огромную выгоду пользователям, внедряющим такие решения.

Это позволяет пользователям начинать с доменов, которые уже имеют выгодную для них историю, или продавать определенные домены по цене, которая часто вдвое превышает первоначальную стоимость покупки.

По данным Infoblox, в первой половине 2026 года в среднем ежедневно регистрировалось 50 400 повторных регистраций по общим доменам верхнего уровня (gTLD), а с учетом доменов верхнего уровня с кодом страны (ccTLD) это число выросло примерно до 65 000. Это составляет примерно одну пятую от всех ежедневных регистраций. Самый высокий показатель наблюдался для доменов .net и .xyz: почти три из десяти вновь зарегистрированных доменов имели предыдущую историю, за ними следуют домены .com с показателем 24.5%.

Однако проблема в том, что не все эти операции кажутся безобидными или всего лишь мелкомасштабными спекулятивными действиями: Infoblox выявила организацию, которую она называет Sable Squirrel, в рамках системы именования, применяемой компанией к хранилищам доменов. Эта организация контролирует более 10 000 доменов, большинство из которых поддерживают крупномасштабную операцию по пиратству спортивных трансляций на вьетнамском языке, работающую под такими брендами, как Xoilac, Cakhia, 90phut, Socolive и MiTom.

По оценкам Infoblox, общие расходы оператора на домены с истекшим сроком действия превышают 7 миллионов долларов, что, по их словам, является крупнейшим бюджетом на приобретение доменов, когда-либо выявленным у одного оператора в этом секторе. Более серьезная проблема заключается в том, что Infoblox также обнаружила, что часть этих потоковых доменов использовалась в качестве серверов управления вредоносным ПО, одновременно обеспечивая прямую трансляцию футбольных матчей для посетителей.

Было выявлено более 31 000 образцов, связанных с инфраструктурой Sable Squirrel, включая вредоносные программы, такие как Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos и njRAT, а также образцы с сигнатурами программы-вымогателя HiddenTear.

Infoblox сообщила, что халатность оператора позволила легко обнаружить связь; многие образцы содержали названия брендов злоумышленников в метаданных исполняемых файлов Windows , с полями типа socolive, xoilac и 8xbet. Infoblox подтвердила, что 405 доменов функционировали как серверы управления и контроля (C2) для вредоносного ПО, что составляет приблизительно четыре процента от общего числа доменов, контролируемых организацией. Использование этих доменов в качестве оружия произошло единой волной в конце 2025 года, а не являлось первоначальной целью операции.

Основной бизнес Sable Squirrel — азартные игры, и хотя компания пытается замаскировать это под стриминговый сервис, она также функционирует как канал для приобретения активов с той же целью. Хотя правоохранительные органы не молчат по этому поводу, их успехи в лучшем случае ограничены: в феврале 2026 года вьетнамские власти заморозили несколько крупных веб-сайтов и в марте предъявили обвинения 30 подозреваемым.

Власти также конфисковали активы, стоимость которых, по оценкам Infoblox, составляет около 12 миллионов долларов, но, похоже, компания выжила и продолжает расширяться, приобретая и управляя доменами, посвященными Чемпионату мира по футболу, с июня, еще больше увеличивая свое присутствие в мире, где она уже определила значительную часть, пожалуй, очень ценного товара: авторитета в доменных именах.