Il dominio resta spesso la prima impronta visibile di una campagna malevola. Nel caso SourTrade, una nuova analisi pubblicata da WhoisXML API su CircleID mostra quanto il lavoro di DNS footprinting possa allargare il perimetro di osservazione oltre la lista iniziale degli indicatori di compromissione.
La campagna, segnalata in origine da Confiant e attiva almeno dalla fine del 2024, è stata associata a malvertising e a falsi riferimenti a marchi come TradingView, Solana e Luno, con un bersaglio naturale: trader retail e utenti crypto. Il punto interessante per il mercato dei domini non è solo la singola operazione malevola, ma il modo in cui domini, IP, email storiche e risoluzioni DNS costruiscono una mappa dell'infrastruttura abusiva.
Leggi anche: Microsoft 365, il phishing ora passa dal device code: cosa raccontano domini e DNS
Dai 96 domini IoC a una rete più ampia
Secondo WhoisXML API, il punto di partenza dell'analisi è una lista di 96 domini IoC, tutti riferiti alla campagna SourTrade. Il controllo sui dati proprietari della società indica che nessuno di questi domini sarebbe risultato intestato a società legittime. Da qui l'indagine ha seguito più piste: interrogazioni DNS, storico Whois, dati di risoluzione, associazioni via email e pattern di typosquatting.
Il primo livello di lettura riguarda la registrazione. I domini IoC analizzati sarebbero stati creati tra il 29 dicembre 2025 e il 15 giugno 2026, amministrati tramite tre registrar e distribuiti su dodici Paesi. È un dettaglio importante perché conferma una dinamica ormai ricorrente: l'abuso non vive sempre su domini appena registrati nelle ore precedenti all'attacco, ma può essere preparato con mesi di anticipo e attivato quando la campagna raggiunge la fase operativa.
Un esempio riportato nella fonte riguarda form-networktool[.]digital, dominio osservato in due query DNS del 7 luglio 2026 da un client IP. Altri domini, tra cui beacon-net[.]digital e form-engine[.]digital, sono stati collegati a piccoli gruppi di typosquatting, con membri registrati tra febbraio e maggio 2026. Non è la dimensione assoluta dei gruppi a colpire, ma la loro funzione: creare varianti sufficientemente credibili da sostenere campagne pubblicitarie malevole, reindirizzamenti o fasi di test.
Perché il DNS racconta più della blacklist
La parte più utile per chi gestisce portafogli, brand protection o sicurezza di registrar è il passaggio dagli IoC noti agli artefatti collegati. WhoisXML API segnala 2.217 risoluzioni storiche dominio-IP associate ai domini iniziali. Su 95 domini che risolvevano, l'analisi ha individuato 186 indirizzi IP distinti, dei quali 184 risultavano già classificati come malevoli nei dati consultati.
Il dato non va letto come una condanna automatica di ogni infrastruttura condivisa: nel DNS moderno un IP può ospitare molte proprietà diverse, e la reputazione deve essere interpretata con cautela. Però mostra perché limitarsi alla lista originale dei domini non basta. Se più indicatori puntano agli stessi IP, alle stesse finestre temporali e agli stessi pattern di registrazione, il rischio operativo diventa più leggibile.
L'analisi prosegue con lo storico Whois: 47 domini IoC avrebbero mostrato 34 indirizzi email pubblici unici nei record storici. Interrogando quelle email in reverse Whois, la ricerca ha individuato 348 domini collegati, esclusi quelli già presenti nella lista iniziale. Tra questi, 131 domini risultavano già associati ad attività malevole. È qui che il DNS footprinting diventa particolarmente interessante: non serve solo a confermare un incidente, ma può suggerire nuove entità da monitorare prima che finiscano in una segnalazione pubblica.
Leggi anche: Domini malevoli: uno studio su 1,52 milioni di casi mostra il peso di registrar e TLD
Il segnale per registrar, brand e investitori
Per i registrar, casi come SourTrade richiamano un equilibrio difficile. Da un lato, non ogni dominio sospetto può essere trattato come prova definitiva di abuso. Dall'altro, quando registrazioni, risoluzioni, email storiche e typosquatting convergono, la risposta non può dipendere solo da un reclamo manuale arrivato a campagna già in corso.
Per le aziende, il messaggio è altrettanto pratico: la difesa del brand non passa più soltanto dal monitoraggio del marchio esatto. Serve osservare variazioni, domini apparentemente generici, TLD usati in modo ricorrente dagli attaccanti e infrastrutture che imitano piattaforme finanziarie o crypto. Nel malvertising, il dominio è spesso il ponte tra l'annuncio e il payload: abbastanza credibile per superare il primo sguardo, abbastanza usa e getta per essere sostituito quando viene scoperto.
Per i domain investor il tema è meno immediato, ma non secondario. Un dominio acquistato nel secondario può portare con sé storico DNS, vecchie associazioni Whois, risoluzioni su IP compromessi o passaggi in liste di minacce. Prima di comprare nomi in TLD molto usati nelle campagne malevole, o domini con passato opaco, diventa sempre più utile affiancare alla valutazione commerciale una verifica reputazionale. Un buon nome può perdere valore se il suo storico tecnico richiede bonifica, tempi lunghi o spiegazioni al futuro acquirente.
Leggi anche: ICANN misura il Time to Mitigation: Domain Metrica entra nel tempo reale del DNS abuse
La lettura Webinvest
SourTrade conferma una tendenza che Webinvest osserva da mesi: l'abuso sui domini è sempre meno un elenco di nomi isolati e sempre più una questione di infrastruttura. Il valore informativo nasce dalle relazioni: domini registrati nello stesso periodo, email ricorrenti, IP condivisi, risoluzioni storiche, varianti tipografiche e TLD scelti perché convenienti o facili da scalare.
Questo non significa trasformare ogni metrica in un verdetto automatico. Significa, piuttosto, che registrar, brand owner e investitori devono guardare al dominio come a un asset con una biografia tecnica. Prezzo, memorabilità e keyword restano importanti; ma in un mercato dove phishing, malware e malvertising usano gli stessi canali di registrazione del business legittimo, la reputazione DNS diventa parte integrante del valore.
← Tutte le news