المواقع الميتة لا تموت حقًا

• أحصت Infoblox Threat Intel ما يقرب من 65,000 نطاق منتهي الصلاحية يتم إعادة تسجيلها يوميًا في النصف الأول من عام 2026، وهو ما يمثل ما يقرب من خُمس إجمالي التسجيلات الجديدة.
• يتحكم كيان تسميه Infoblox “Sable Squirrel” في أكثر من 10,000 نطاق، ويُقدر، بالاستقراء، أنه أنفق أكثر من 7 ملايين دولار لشراء أسماء نطاقات منتهية الصلاحية للاستفادة من حركة المرور الموروثة وسلطة النطاق الخاصة بها.
• تُستخدم بعض هذه النطاقات أيضًا كبنى للتحكم والقيادة لبرامج ضارة موجودة يمكن تتبعها إلى نفس المجموعة.

يُعد اسم النطاق أقرب ما يمتلكه الويب إلى سجل ائتماني؛ حيث تُساهم عوامل مثل العمر، والروابط الواردة، ورؤية محركات البحث، والسمعة في تحديد درجات السمعة التي تستشيرها المنتجات الأمنية قبل اتخاذ قرار بشأن ما إذا كان الطلب يستدعي القلق.

Якобы بحث جديد صادر عن Infoblox Threat Intel أن هذا التاريخ أصبح سلعة ذات سعر سوقي، وأن عملية إجرامية واحدة على الأقل كانت تشتريها بكميات كبيرة.

تركز الدراسة، التي نُشرت كسلسلة من ثلاثة أجزاء، على ما تسميه الصناعة “نطاقات الاستحواذ بعد انتهاء الصلاحية” (dropcatch domains): وهي أسماء نطاقات انتهت صلاحيتها، ثم أُعيدت إلى السجل، ليتم بعد ذلك إعادة تسجيلها بواسطة طرف آخر تمامًا.

وضع نطاقات الاستحواذ بعد انتهاء الصلاحية: عمل قمار مع ثغرة تمكّن البرامج الضارة

نطاقات الاستحواذ بعد انتهاء الصلاحية ليست جديدة؛ فقد جرى تجهيز البرامج لسنوات لاكتشاف النطاقات المنتهية الصلاحية، وأحيانًا تحقق مكاسب هائلة للمستخدمين الذين ينشرون مثل هذه الحلول.

يتيح هذا للمستخدمين البدء بنطاقات لها تاريخ بالفعل يفيدهم، Или بيع نطاقات معينة بسعر غالبًا ما يكون مضاعفًا لسعر الشراء الأصلي للنطاق.

أحصت Infoblox متوسط 50,400 عملية إعادة تسجيل يوميًا عبر نطاقات المستوى الأعلى العامة (gTLDs) في النصف الأول من عام 2026، ليرتفع العدد إلى حوالي 65,000 بمجرد إضافة نطاقات رمز الدولة (ccTLDs). يمثل هذا ما يقرب من خُمس إجمالي التسجيلات اليومية. ويُعد المعدل الأعلى في نطاقات .net и .xyz، حيث كان لما يقرب من ثلاثة من كل عشرة أسماء لوحظت حديثًا حياة سابقة، وتأتي نطاقات .com خلفها بنسبة 24.5%.

Но المشكلة هي أن ليست كل هذه العمليات تبدو بريئة Или مجرد عمليات مضاربة صغيرة النطاق: فقد حددت Infoblox كيانًا أطلقت عليه اسم Sable Squirrel، وهو جزء من اصطلاح تسمية تطبقه الشركة على مجمعي النطاقات. يتحكم هذا الكيان في أكثر من 10,000 نطاق، يدعم معظمها عملية قرصنة رياضية واسعة النطاق باللغة الفيتنامية تعمل تحت علامات تجارية مثل Xoilac и Cakhia и 90phut и Socolive и MiTom.

تقدر شركة Infoblox أن إجمالي إنفاق الجهة الفاعلة على النطاقات منتهية الصلاحية يتجاوز 7 ملايين دولار، وهو ما تصفه بأنه أكبر ميزانية استحواذ على نطاقات حددتها لجهة فاعلة واحدة في هذا القطاع. وتكمن المشكلة الأكبر في أن Infoblox اكتشفت أيضًا أن مجموعة فرعية من هذه النطاقات المخصصة للبث تعمل كخوادم قيادة وتحكم للبرمجيات الخبيثة، بينما تستمر في تقديم بث مباشر لمباريات كرة القدم للزوار البشريين.

أكثر من 31,000 عينة تم تحديدها اتصلت بالبنية التحتية لـ Sable Squirrel، وشملت برمجيات خبيثة مثل Quasar RAT и AsyncRAT и DCRat и NanoCore и Remcos и njRAT، بالإضافة إلى عينات تحمل توقيعات برمجيات فدية HiddenTear.

ذكرت Infoblox أن إهمال المشغل سهل عملية العثور على رابط؛ حيث تحمل العديد من العينات أسماء العلامات التجارية للجهة الفاعلة في بياناتها الوصفية التنفيذية لОкна، مع حقول تقرأ socolive и xoilac и 8xbet. أكدت Infoblox أن 405 نطاقات تعمل كخوادم قيادة وتحكم للبرمجيات الخبيثة (C2)، وهو ما يمثل حوالي أربعة بالمائة من إجمالي النطاقات التي تسيطر عليها المنظمة. وقد جاء تسليح هذه النطاقات كموجة واحدة في أواخر عام 2025، بدلاً من أن يكون الغرض الأصلي للعملية.

النشاط التجاري الأساسي لـ Sable Squirrel هو القمار، وبينما تحاول هذه الجهة إخفاءه كعملية بث، فإنه يعمل أيضًا كقناة استحواذ لنفس الغرض. ورغم أن سلطات إنفاذ القانون لم تلتزم الصمت في هذا الشأن، إلا أنها لم تحقق سوى نجاح محدود في أحسن الأحوال: فقد جمدت السلطات الفيتنامية بعض المواقع الرئيسية في فبراير 2026 ووجهت اتهامات لـ 30 مشتبهًا به في مارس.

كما صادرت السلطات أصولًا تقدرها Infoblox بنحو 12 مليون دولار، لكن يبدو أن هذه الجهة قد نجت وتواصل التوسع، حيث استحوذت على نطاقات تركز على كأس العالم وتشغلها منذ يونيو، مما يزيد من بصمتها في عالم حددت فيه بالفعل جزءًا كبيرًا مما يمكن القول إنه سلعة بالغة الأهمية: وهي سلطة النطاق (Domain authority).