Οι κυβερνοεγκληματίες αξιοποιούν ολοένα περισσότερο ληγμένα domains, αποκτώντας την υπάρχουσα φήμη, την επισκεψιμότητα και τα backlinks τους, ώστε να κατευθύνουν χρήστες σε απάτες, malware και παράνομες υπηρεσίες.
Η νέα απειλή των dropcatch domains
Η Infoblox αποκαλεί «dropcatch domains» τα domains που λήγουν και στη συνέχεια επανακαταχωρίζονται από νέους ιδιοκτήτες. Κατά το πρώτο εξάμηνο του 2026, περίπου 50.400 τέτοια domains επανακαταχωρίζονταν καθημερινά μόνο στα gTLDs, ενώ μαζί με τα ccTLDs ο αριθμός έφτανε περίπου τις 65.000.
Το πρόβλημα είναι ότι ένα ληγμένο domain μπορεί να διατηρεί προηγούμενη φήμη, εισερχόμενη κίνηση, αποτελέσματα αναζήτησης και DNS συνδέσεις. Έτσι, μπορεί να φαίνεται πιο αξιόπιστο από ένα ολοκαίνουργιο domain.
Η επιχείρηση Sable Squirrel
Μία από τις πιο χαρακτηριστικές περιπτώσεις είναι ο threat actor Sable Squirrel, ο οποίος σύμφωνα με την Infoblox έχει δαπανήσει σχεδόν 7 εκατ. δολάρια για χιλιάδες ληγμένα domains.
Η υποδομή συνδέεται με παράνομες αθλητικές μεταδόσεις, προώθηση στοιχηματικών υπηρεσιών και malware. Περισσότερα από 10.000 domains φέρονται να αποτελούν μέρος του οικοσυστήματος, ενώ πάνω από 31.000 δείγματα malware έχουν επικοινωνήσει με υποδομές του.
Μεταξύ αυτών εντοπίζονται Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT, njRAT και δείγματα που σχετίζονται με HiddenTear ransomware.
Τα domains μετατρέπονται γρήγορα σε όπλα
Η Infoblox διαπίστωσε ότι το 24% των dropcatch domains ενεργοποιείται την ίδια ημέρα, το 76% μέσα σε επτά ημέρες και το 94% μέσα σε δύο εβδομάδες.
Παράλληλα, έχουν εντοπιστεί και άλλοι scavengers, όπως οι Stuffy Squirrel, Shady Squirrel και Swiping Squirrel, οι οποίοι αξιοποιούν χιλιάδες domains για τη μεταπώληση ή ανακατεύθυνση της κίνησης προς διαφημιστικά δίκτυα, scams και malware.
Η πρακτική αυτή δείχνει ότι οι εγκληματίες δε χρειάζεται πάντα να δημιουργούν νέα υποδομή από το μηδέν. Μπορούν να αγοράσουν την «κληρονομιά» ενός παλιού domain και να τη μετατρέψουν γρήγορα σε εργαλείο για κυβερνοεπιθέσεις.