Sites abandonados não morrem de verdade.

Um nome de domínio é o que mais se assemelha a uma pontuação de crédito na internet; fatores como idade, links de entrada, visibilidade em mecanismos de busca e reputação contribuem para determinar as pontuações de reputação que os produtos de segurança consultam antes de decidir se uma solicitação justifica atenção.

Uma nova pesquisa da Infoblox Threat Intel afirma que esse histórico se tornou uma mercadoria com preço de mercado e que pelo menos uma organização criminosa o estava comprando em grandes quantidades.

O estudo, publicado em uma série de três partes, concentra-se no que o setor chama de "domínios dropcatch": nomes de domínio que expiraram, são devolvidos ao registro e, posteriormente, registrados novamente por uma parte completamente diferente.

Configurar domínios de aquisição após o vencimento: Apostar com uma vulnerabilidade que permite a exploração de malware.

A aquisição de domínios após o vencimento não é novidade; existem softwares há anos para detectar domínios expirados, que às vezes geram grandes lucros para os usuários que implementam essas soluções.

Isso permite que os usuários comecem com domínios que já possuem um histórico que os beneficia, ou que vendam determinados domínios por um preço que geralmente é o dobro do preço de compra original do domínio.

A Infoblox contabilizou uma média de 50,400 novos registros por dia em domínios genéricos de nível superior (gTLDs) no primeiro semestre de 2026, número que sobe para aproximadamente 65,000 quando incluídos os domínios de nível superior de código de país (ccTLDs). Isso representa cerca de um quinto de todos os registros diários. A maior taxa foi observada para domínios .net e .xyz, com quase três em cada dez nomes recém-registrados apresentando histórico anterior, seguidos pelos domínios .com, com 24.5%.

Mas o problema é que nem todas essas operações parecem inocentes ou meramente atividades especulativas de pequena escala: a Infoblox identificou uma entidade que chama de Sable Squirrel, parte de uma convenção de nomenclatura que a empresa aplica a repositórios de domínios. Essa entidade controla mais de 10,000 domínios, a maioria dos quais dá suporte a uma operação de pirataria esportiva em grande escala em língua vietnamita, operando sob marcas como Xoilac, Cakhia, 90phut, Socolive e MiTom.

A Infoblox estima que o gasto total da operadora com domínios expirados ultrapasse US$ 7 milhões, o que descreve como o maior orçamento de aquisição de domínios já identificado para uma única operadora neste setor. O problema maior é que a Infoblox também descobriu que um subconjunto desses domínios de streaming estava sendo usado como servidores de comando e controle para malware, enquanto ainda fornecia transmissões ao vivo de partidas de futebol para visitantes humanos.

Foram identificadas mais de 31,000 amostras conectadas à infraestrutura da Sable Squirrel, incluindo malwares como Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos e njRAT, além de amostras com assinaturas do ransomware HiddenTear.

A Infoblox relatou que a negligência do operador facilitou a identificação do link; muitas das amostras continham os nomes de marca dos agentes maliciosos nos metadados dos executáveis ​​do Windows , com campos indicando socolive, xoilac e 8xbet. A Infoblox confirmou que 405 domínios estavam operando como servidores de comando e controle (C2) para o malware, representando aproximadamente quatro por cento do total de domínios controlados pela organização. A utilização desses domínios como armas ocorreu em uma única onda no final de 2025, e não era o objetivo inicial da operação.

O principal negócio da Sable Squirrel é o jogo de azar e, embora tente disfarçar isso como uma operação de streaming, também funciona como um canal de aquisição para o mesmo fim. Apesar de as autoridades policiais não terem se mantido em silêncio sobre o assunto, seu sucesso tem sido, na melhor das hipóteses, limitado: as autoridades vietnamitas congelaram alguns dos principais sites em fevereiro de 2026 e indiciaram 30 suspeitos em março.

As autoridades também apreenderam bens que a Infoblox estima valerem cerca de US$ 12 milhões, mas a empresa parece ter sobrevivido e continua a se expandir, tendo adquirido e operado domínios focados na Copa do Mundo desde junho, aumentando ainda mais sua presença em um mundo onde já definiu uma parcela significativa do que é indiscutivelmente uma mercadoria de alto valor: a autoridade de domínio.