Cyberkriminelle investieren fast 7 Millionen Dollar in abgelaufene Domains

Infoblox deckte auf, wie Cyberkriminelle für rund 7 Millionen Dollar abgelaufene Domains samt Reputation und Datenverkehr aufkaufen.

Als Dropcatch-Domains bezeichnet das DNS-Sicherheitsunternehmen Infoblox Domains, deren Registrierung ausläuft und die anschließend erneut von einer anderen Partei registriert werden. In der ersten Hälfte des Jahres 2026 wurden allein bei generischen Top-Level-Domains wie .com täglich rund 50.400 solcher Domains neu registriert, unter Einbeziehung länderspezifischer Endungen steigt dieser Wert auf rund 65.000 pro Tag, umgerechnet fast jede fünfte neu registrierte Domain weltweit. Infoblox erklärte dazu:

„Diese Domains können besonders interessant, sogar gefährlich sein, weil sie Reputation und teilweise auch Verbindungen aus ihrem vorherigen Leben erben.“

Infoblox

Sicherheitsprodukte und reputationsbasierte Algorithmen bewerteten solche Domains häufig günstiger als eine tatsächlich neue Registrierung, ein Umstand, den Angreifer gezielt ausnutzten. Auf Ebene einzelner Endungen führen laut der Analyse .net und .xyz die Dropcatch-Aktivität an, noch vor .com auf Platz drei. Die meisten Domains werden dabei über Registrare wie GoDaddy, Namecheap sowie spezialisierte Dienste wie DropCatch.com neu registriert, die gezielt kurz vor der endgültigen Löschung stehende Domains verfolgen und automatisiert für zahlende Kunden zu registrieren versuchen. Bei mehreren konkurrierenden Interessenten entscheidet anschließend eine öffentliche Auktion über den Zuschlag.

Aus ehemaligen Markendomains werden Streaming- und Wettportale

Der von Infoblox als „Sable Squirrel“ bezeichnete Akteur baute mithilfe solcher Domains nach Einschätzung des Unternehmens ein kriminelles Geschäftsmodell rund um illegales Sport-Streaming, Werbung für Online-Glücksspiel sowie Schadsoftware-Infrastruktur auf. Die Spur der Gruppe führt laut Infoblox nach Vietnam, mit deutlichen Überschneidungen zum bereits im März von vietnamesischen Behörden zerschlagenen illegalen Streaming-Netzwerk Xoi Lac TV. Insgesamt kontrolliert die Gruppe demnach mehr als 10.000 Domains, die größtenteils als Grundlage für ein umfangreiches asiatisches Sportpiraterie-Geschäft unter Marken wie Xoilac, Cakhia, 90phut, Socolive und MiTom dienen und Nutzer parallel zu Wettanbietern weiterleiten.

Unter den von der Gruppe erworbenen, zuvor bekannten Domains finden sich laut Infoblox unter anderem eine frühere Gesundheitsinitiative von General Electric, eine ehemalige Domain der Kosmetikmarke Max Factor sowie eine für den letztlich gescheiterten Zusammenschluss der Supermarktketten Kroger und Albertsons registrierte Adresse. Eine Domain eines früheren Anbieters von Entwicklerwerkzeugen für die PlayStation dient nach Angaben von Infoblox inzwischen gleichzeitig als illegale Streaming-Seite und als Kontrollserver für die Schadsoftware Quasar RAT, ein Beispiel für die doppelte Nutzung solcher Infrastruktur.

Insgesamt kommunizierten laut Infoblox mindestens 31.000 verschiedene Schadsoftware-Proben mit der Infrastruktur der Gruppe, darunter bekannte Familien wie Quasar RAT, AsyncRAT, DCRat und Remcos RAT. Nach der Neuregistrierung setzen die Angreifer die erworbenen Domains dabei ausgesprochen schnell ein: 24 Prozent gehen laut Infoblox bereits am selben Tag aktiv, 76 Prozent innerhalb einer Woche und 94 Prozent innerhalb von zwei Wochen.

Auch reine Trittbrettfahrer nutzen bereits kompromittierte Domains

Neben Akteuren wie Sable Squirrel, die Domains gezielt für ein eigenes Geschäftsmodell aufkaufen, beobachtet Infoblox zusätzlich mehrere finanziell motivierte Gruppen, die gezielt bereits zuvor kompromittierte, inzwischen abgelaufene Domains übernehmen, um den davon ausgehenden Datenverkehr weiterzuverkaufen. Dazu zählen die seit mindestens 2020 aktive und mehr als 500 Domains kontrollierende Gruppe „Stuffy Squirrel“, die russischsprachige, seit Juli 2023 aktive und mehr als 700 Domains kontrollierende Gruppe „Shady Squirrel“ sowie die seit 2022 aktive Gruppe „Swiping Squirrel“ mit mehr als 3.000 kontrollierten Domains.

Infoblox beschreibt deren Vorgehen so: „Statt Websites selbst zu kompromittieren, erwerben diese Akteure abgelaufene Domains und beginnen sofort, den Datenverkehr aus den von ihren Vorgängern hinterlassenen Infektionsketten zu empfangen.“

(red)