Threat actors estão comprando domínios expirados para herdar o tráfego e a reputação de sites antigos e, assim, redirecionar vítimas para golpes e malware em larga escala.
A empresa de inteligência de ameaças em DNS Infoblox deu o nome de domínios dropcatch para esses casos em que um domínio expirado volta a ficar disponível para registro e acaba sendo adquirido por outra parte.
No primeiro semestre de 2026, 50.400 domínios dropcatch foram re-registrados por dia apenas nos domínios de topo genéricos, ou gTLDs, como “.com”. Esse número sobe para cerca de 65.000 quando os domínios de topo com código de país, ou ccTLDs, entram na conta. Isso representa quase 20% de todos os registros diários de gTLDs e ccTLDs, o que significa que um em cada cinco domínios recém-registrados é um domínio dropcatch.
“Esses domínios podem ser particularmente interessantes, e até perigosos, porque herdam a reputação e, às vezes, conexões da vida anterior”, afirmou a Infoblox em um relatório detalhado em três partes. “Pesquisadores, produtos de segurança e algoritmos baseados em reputação podem vê-los com mais simpatia do que um registro realmente novo. Threat actors sabem disso e tiram proveito.”
A análise da empresa de cibersegurança mostra que .net e .xyz lideram a atividade de dropcatch entre os TLDs, superando o .com, que aparece em terceiro lugar. Outros TLDs de destaque incluem .org, .vip, .online, .store, .site, .app e .shop. A maior parte desses domínios é re-registrada por meio de registradores como GoDaddy, Namecheap e DropCatch.com, que registram medianas diárias de 5.246, 4.385 e 3.568 domínios dropcatch, respectivamente.
Um ponto importante é que, embora os motivos para um domínio expirar possam variar, a maioria dos gTLDs segue uma política de recuperação de registro que dá ao titular atual a chance de renovar o domínio dentro de um prazo específico. Quando esse período de carência termina, o domínio é liberado e volta a ficar disponível para registro.
É aí que entram serviços especializados de captura, como o DropCatch.com. Eles monitoram domínios que estão prestes a ser excluídos do registro e tentam registrá-los automaticamente o mais rápido possível em nome de clientes que fizeram uma reserva antecipada para garantir o nome. Se mais de uma parte demonstra interesse e há mais de uma reserva para o mesmo domínio, o processo vai para um leilão público, no qual vence quem oferecer o maior lance.
“Todos os dias, entre 60.000 e 85.000 nomes de domínio .com e .net ficam disponíveis no ‘Daily Drop’”, informa o DropCatch.com em seu site. “O Drop é um mercado extremamente competitivo, em que algoritmos avançados têm uma vantagem notável por detectar o milissegundo exato em que um nome de domínio fica disponível para registro e emitir centenas de tentativas de compra consecutivas de uma só vez.”
Em alguns casos, esses leilões podem ocorrer muito antes de os domínios serem liberados para o registro, dando aos usuários a chance de navegar por uma lista de domínios próximos do vencimento, ver os lances atuais e sinalizar aqueles que já despertaram interesse. Isso naturalmente levanta a pergunta: quem está capturando esses domínios?
Esquilos e saqueadores: quando a transferência de confiança vira um problema de segurança
Embora defensores também comprem esses domínios expirados de forma intencional como medida preventiva para evitar usos indevidos futuros, investidores de domínios podem atuar comprando, mantendo e revendendo nomes de domínio com lucro. Mas essa prática de captura pode se tornar uma preocupação grave quando um agente malicioso assume o controle de um domínio com histórico.
“Para threat actors, a reputação herdada não é a única coisa valiosa ao adquirir um domínio abandonado”, explicou a Infoblox. “Eles também vêm com uma série de conexões remanescentes: e-mails destinados ao proprietário original, resultados de busca em cache, tráfego web herdado e, em alguns casos, uma plataforma pronta para injeção de código em sites já comprometidos. Registros de DNS remanescentes também podem criar oportunidades para threat actors.”
Um desses threat actors é o Sable Squirrel, que é avaliado como responsável por gastar quase US$ 7 milhões até agora em domínios expirados para construir uma operação criminosa que abrange transmissão ilegal de esportes, promoção de jogos de azar online e infraestrutura de malware.
“Esse dinheiro compra histórico de registro antigo, backlinks, tráfego residual e o tipo de sinais de reputação que muitas defesas ainda tratam como indícios de confiabilidade”, acrescentou a empresa de inteligência de ameaças. As evidências apontam o Vietnã como epicentro da operação, com fortes semelhanças com a Xoi Lac TV, uma rede de streaming ilegal desmantelada por autoridades vietnamitas no início de março.
No total, o threat actor acumula mais de 10.000 domínios, a maioria servindo como base para uma grande operação asiática de pirataria esportiva sob marcas como Xoilac, Cakhia, 90phut, Socolive e MiTom. Segundo a Infoblox, essas plataformas atuam como canais de aquisição para manter os “fãs voltando”, ao mesmo tempo em que promovem serviços de apostas como VSBet, ColaScore e 8xbet, operados em conjunto pelo Sable Squirrel.
O esquema envolve a divulgação das marcas por meio de Facebook, Instagram, Reddit, Twitch, Amazon Podcasts, canais próprios no YouTube e anúncios em sites comprometidos de vagas e comunidades, com redirecionamento seletivo de usuários localizados no Vietnã, Coreia do Sul, Japão, Taiwan, Singapura e Austrália para os sites ilegais de streaming esportivo por meio de um sistema de distribuição de tráfego, ou TDS.
O Sable Squirrel também foi flagrado publicando aplicativos Android do ColaScore e do VSBet na Google Play Store e por meio de contas de desenvolvedor suspeitas de estarem comprometidas. “Isso não é um caso isolado. Encontramos muitas variações dessas contas Play comprometidas distribuindo os mesmos aplicativos e, quando o Google suspende uma, outra parece assumir o lugar”, disse a Infoblox.
A operação Sable Squirrel
Nada menos que 31.000 amostras de malware, incluindo Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT, njRAT e artefatos com assinaturas de ransomware HiddenTear, já se comunicaram com a infraestrutura do Sable Squirrel. Parte dos domínios de streaming também funciona como comando e controle, ou C2, de malware, mesmo enquanto continua exibindo conteúdo ao vivo para visitantes.
A marca Xoi Lac TV surgiu em 2016, mas foi só em novembro de 2025 que apareceram as primeiras configurações de C2 de malware em domínios do Sable Squirrel que já vinham servindo conteúdo de streaming, sinalizando uma mudança além do streaming ilegal e das apostas. Acredita-se que o threat actor tenha começado a comprar domínios dropcatch em junho de 2023.
De forma interessante, o Sable Squirrel opera um modelo de domínios em duas frentes: compra domínios expirados em leilões por meio de DropCatch[.]com, GoDaddy, Namecheap e Dynabot para herdar a legitimidade de seus antecessores, além do histórico de registro, tráfego de entrada e backlinks, e também registra domínios parecidos do zero, usados para manter a estrutura de streaming.
Alguns dos domínios dropcatch adquiridos pelo Sable Squirrel para streaming ilegal de esportes incluem:
- healthymagination[.]com, uma iniciativa de saúde lançada pela General Electric em 2009
- maxfactor-international[.]com, marca de cosméticos pertencente à Procter & Gamble
- krogeralbertsons[.]com, domínio criado para a proposta de fusão entre Kroger e Albertsons em 2022, antes de o acordo ser encerrado em dezembro de 2024
- snsystems[.]com, antiga empresa de ferramentas de desenvolvimento para o PlayStation da Sony
- rezilion[.]com, uma empresa de cibersegurança já encerrada, cujos principais ativos foram comprados pela GitLab em 2024
- cel-robox[.]com, antiga empresa de impressoras 3D de mesa
Por exemplo, o domínio “cel-robox[.]com” foi comprado pelo Sable Squirrel para funcionar tanto como site de streaming ilegal quanto como servidor C2 do Quasar RAT, evidenciando a natureza de uso duplo da infraestrutura. Entre os setores mais afetados pelos domínios C2 de malware estão educação, TI e consultoria, governo, saúde e serviços bancários.
Os três saqueadores
Depois de re-registrados, os domínios dropcatch são rapidamente transformados em armas para atividades maliciosas. Em 24% dos casos, eles entram no ar no mesmo dia; em 76%, em até sete dias; e em 94%, até o fim da segunda semana. Isso mostra a tentativa do threat actor de explorar a reputação e o tráfego de entrada dos domínios para alcançar seus objetivos.
Embora a meta final da operação seja levar fãs de esportes para sites de apostas, isso é feito por meio de uma cadeia de redirecionamento e cloaking usando domínios como “6789x[.]site”, responsável por encaminhar visitantes reais para as plataformas de apostas, enquanto envia bots e qualquer pessoa que não seja o alvo pretendido para páginas sem saída, mantendo a página de apostas oculta.
“O Sable Squirrel compra reputação embutida no domínio, conecta isso a uma máquina de streaming para apostas e usa parte desses mesmos domínios como infraestrutura de malware”, observou a Infoblox. “O Sable Squirrel não está comprando apenas um nome. Está comprando uma vantagem inicial, com confiança residual, tráfego e backlinks que colocam o domínio para trabalhar quase imediatamente e ajudam a driblar verificações de segurança que dependem demais da reputação histórica.”
“Os mesmos serviços de back-end, feeds de dados esportivos, infraestrutura de imagens e componentes de chat ao vivo que alimentam a operação vietnamita de streaming também aparecem em torno de marcas de apostas em chinês e campanhas adjacentes voltadas para públicos que falam indonésio e russo.”
Abuso de domínios expirados e comprometidos
O Sable Squirrel é apenas um dos muitos threat actors que adquirem domínios expirados em grande escala para tocar simultaneamente um negócio de streaming e apostas e uma operação de malware, abrindo várias fontes de receita ao mesmo tempo. Outros são saqueadores oportunistas que sequestram tráfego residual de domínios expirados e anteriormente comprometidos para alimentar ecossistemas de golpe e malware.
A Infoblox monitora três saqueadores motivados financeiramente que controlam milhares de domínios e adquirem tráfego de forma fraudulenta para revendê-lo a outros serviços:
- **Stuffy Squirrel**: ativo desde pelo menos 2020, controla mais de 500 domínios. Opera um TDS e entrega JavaScript malicioso aos visitantes para vender tráfego a redes de anúncios de afiliados que podem exibir anúncios popunder e notificações push indesejadas, enquanto apresenta bibliotecas iscas legítimas, como Raphaël.js, para scanners que acessam diretamente o domínio dropcatch.
- **Shady Squirrel**: ativo desde pelo menos julho de 2023, controla mais de 700 domínios. É um threat actor de língua russa que envia tráfego para corretores de acesso inicial e criminosos cibernéticos como SocGholish, além de golpes de suporte técnico e redes de marketing de afiliados que usam servidores Keitaro. Acredita-se que o SocGholish tenha recuperado o acesso a milhares de sites comprometidos ao se aliar a esse threat actor poucos dias depois de sua infraestrutura ser interrompida em uma operação policial.
- **Swiping Squirrel**: ativo desde pelo menos 2022, controla mais de 3.000 domínios. Direciona seu tráfego fraudulento para plataformas de publicidade de clique zero, que depois o revendem para golpes ou malware, sem distribuir conteúdo malicioso diretamente.
“Em vez de comprometerem os próprios sites, esses atores compram domínios expirados e começam imediatamente a receber tráfego das cadeias de infecção deixadas por seus antecessores”, disse a Infoblox. “Depois, injetam seu próprio conteúdo. Na prática, são saqueadores.”
“O resultado é uma corrida para capturar vítimas: o mesmo domínio comprometido pode ser redirecionado por diferentes atores de dropcatch, dependendo das características do visitante, do momento e de outros fatores.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...