Un dominio scaduto può conservare un valore che non compare nel cartellino d’asta: visitatori residui, collegamenti da altri siti e una storia che alcuni sistemi interpretano come segnale di affidabilità. Un’indagine di Infoblox Threat Intel mostra come un gruppo che l’azienda chiama Sable Squirrel abbia costruito su questa eredità una rete che combina streaming sportivo illegale, promozione del gioco d’azzardo e infrastruttura per malware.
La ricerca, pubblicata il 13 agosto 2026, attribuisce al gruppo oltre 10.000 domini. Infoblox ha verificato più di 430.000 dollari di acquisti su circa 160 nomi analizzati singolarmente e, proiettando il dato sull’intero insieme, stima una spesa complessiva superiore a 7 milioni di dollari. È una stima dell’azienda, non un consuntivo pubblico completo delle transazioni.
Leggi anche: Domain shadowing: quando domini e sottodomini diventano un vettore di abuso
Un portafoglio con due strategie di acquisizione
Secondo Infoblox, Sable Squirrel affianca registrazioni nuove, spesso costruite attorno a nomi riconducibili ai propri marchi, all’acquisto di domini lasciati scadere. I primi sono sostituibili e facili da riconoscere; i secondi possono avere una storia lunga e collegamenti ancora attivi. L’indagine cita nomi un tempo legati a imprese, media, organizzazioni non profit e progetti istituzionali. Il valore cercato, quindi, non è soltanto la stringa: è l’eventuale traffico che continua ad arrivare e la reputazione pregressa che filtri e motori di ricerca possono associare al dominio.
La stima di 7 milioni va interpretata con cautela. Infoblox dice di aver ricostruito il prezzo di circa 160 acquisti per oltre 430.000 dollari, poi estrapola la spesa sull’inventario più ampio. La cifra non equivale a un elenco completo di fatture né dimostra che ogni dominio sia stato acquistato a un prezzo elevato. Indica però un ordine di grandezza inconsueto per un gruppo che usa i nomi come componenti di una rete operativa.
Dallo streaming al gioco, con una sovrapposizione al malware
I domini osservati sostengono siti in lingua vietnamita che propongono dirette sportive e pagine di servizio collegate a piattaforme di scommesse. Infoblox riferisce di aver trovato infrastrutture e marchi che collegano le diverse proprietà, ma precisa che non può confermare in modo definitivo che l’operatore monitorato sia identico alle persone perseguite in Vietnam per la rete Xôi Lạc. La connessione è valutata come altamente probabile sulla base di nomi, modelli dei siti e altri elementi condivisi; resta un’attribuzione analitica, non una conclusione giudiziaria.
L’elemento più rilevante per chi segue il mercato dei domini è il riuso di parte dello stesso patrimonio come canale di comando e controllo per malware. Infoblox ha identificato oltre 31.000 campioni che comunicavano con domini associati al gruppo e 405 nomi configurati come C2 nella propria analisi. Tra i campioni sono citati strumenti di accesso remoto come Quasar RAT, AsyncRAT, DCRat e NanoCore. Alcuni domini mostravano contemporaneamente contenuti di streaming a un visitatore e svolgevano una funzione diversa per un dispositivo infetto.
Questi numeri descrivono il campione e la telemetria dei ricercatori, non quantificano tutte le vittime né dimostrano che ogni visita a un sito di streaming installi malware. Infoblox segnala inoltre che una parte dei campioni portava riferimenti ai marchi del gruppo nei metadati. Per le firme HiddenTear, l’azienda ha trovato configurazioni associate, ma dichiara di non aver osservato cifratura dei file nei campioni esaminati: non presenta quindi un’esecuzione ransomware confermata.
La ricerca osserva anche che nel dicembre 2025 si concentrò una larga parte della configurazione di domini come C2 e che circa il 12% delle reti dei clienti Infoblox monitorate aveva interrogato quei nomi dalla comparsa dell’ondata, con attività distribuita in circa due dozzine di settori. È un indicatore di esposizione nel perimetro osservato da un singolo fornitore di sicurezza; non è una percentuale trasferibile a tutte le aziende o agli utenti Internet.
Leggi anche: Attacchi al brand: perché il rischio digitale coinvolge anche domini e DNS
Che cosa cambia per il mercato dei domini
Il caso rende visibile un rischio del mercato secondario: la cronologia e i collegamenti di un nome possono essere riutilizzati da chi lo acquisisce, anche con finalità lontane da quelle del precedente titolare. Un dominio con backlink e traffico residuo non è automaticamente più sicuro o di maggior qualità; quegli stessi segnali possono attirare acquirenti interessati a sfruttarli prima che i sistemi di reputazione aggiornino le proprie valutazioni.
Per registrar, piattaforme d’asta e investitori, la lezione operativa è distinguere il valore commerciale dalla provenienza e dall’uso successivo. La storia di un nome, i cambi di titolare, i contenuti archiviati e le destinazioni recenti sono elementi utili nella due diligence. La sola età del dominio non certifica affidabilità, così come una precedente presenza legittima non garantisce che il nuovo uso sia collegato al vecchio proprietario.
La lettura Webinvest
Sable Squirrel non dimostra che i domini scaduti siano in generale strumenti criminali, né che il prezzo elevato predica un uso illecito. Mostra un caso documentato in cui l’acquisto di nomi con una storia preesistente si integra con altre attività e con infrastrutture tecniche condivise. La parte più utile per il settore è proprio questa: il valore ereditato da un dominio può essere monetizzato in modi diversi, mentre l’attribuzione, la stima economica e la portata dell’esposizione vanno lette alla luce del metodo e del perimetro di chi le misura.
Fonte: Infoblox Threat Intel, “$7 Million in Expired Domains Fuel a Streaming Empire with a Malware Secret”.
← Tutte le news