Hackers gastam mais de US$ 7 milhões em domínios expirados p

O que aconteceu?

A Infoblox Threat Intel publicou uma investigação sobre uma prática conhecida como dropcatch, na qual domínios expirados são registrados novamente assim que voltam a ficar disponíveis.

Isso não é necessariamente malicioso. Empresas, investidores e pesquisadores também podem adquirir domínios expirados de forma legítima. O problema surge quando criminosos compram endereços que já tiveram uma longa vida na internet e aproveitam a reputação construída pelo antigo proprietário.

Durante o primeiro semestre de 2026, a Infoblox observou uma média de cerca de 50.400 domínios expirados sendo registrados novamente por dia apenas entre gTLDs. Considerando também os ccTLDs analisados, esse número sobe para aproximadamente 65 mil por dia. Na amostra da empresa, os dropcatch representaram perto de 20% das novas inscrições observadas.

Por que um domínio antigo pode ser valioso para criminosos?

Quando uma empresa abandona um domínio, nem tudo relacionado a ele desaparece imediatamente.

O endereço pode continuar possuindo:

links espalhados por outros sites;
tráfego de usuários antigos;
referências em mecanismos de busca;
histórico de registro;
reputação em sistemas automatizados;
aplicações ou páginas que ainda fazem chamadas para aquele domínio.

Em alguns casos, até mensagens de e-mail ou configurações DNS antigas podem continuar relacionadas ao endereço.

Em termos simples

Imagine que uma empresa utilizou um domínio durante dez anos e depois deixou de renová-lo.

Para ferramentas de reputação e usuários, aquele endereço pode continuar parecendo antigo e confiável.

Se um criminoso conseguir comprá-lo depois da expiração, ele não começa necessariamente do zero: pode herdar parte do tráfego e da confiança associados ao endereço anterior.

É justamente esse valor que a Infoblox afirma estar sendo explorado pelo grupo Sable Squirrel.

Sable Squirrel controla mais de 10 mil domínios

Segundo a investigação, o Sable Squirrel controla mais de 10 mil domínios.

Grande parte da infraestrutura é utilizada em uma operação de streaming esportivo pirata voltada principalmente ao mercado asiático, envolvendo marcas como Xoilac, Cakhia, 90phut, Socolive e MiTom.

Esses sites funcionam como plataformas de transmissão esportiva, mas a Infoblox avalia que o streaming também serve como canal para direcionar usuários a serviços de apostas.

Entre as marcas mencionadas pelos pesquisadores estão:

VSBet;
ColaScore;
8xbet.

A empresa encontrou ainda infraestrutura compartilhada relacionada a públicos de língua vietnamita, chinesa, indonésia e russa, sugerindo que a operação possui alcance além de um único país.

Mais de US$ 7 milhões podem ter sido gastos em domínios expirados

A Infoblox analisou individualmente cerca de 160 aquisições de domínios expirados atribuídas ao Sable Squirrel e confirmou gastos superiores a US$ 430 mil nesse conjunto.

Ao extrapolar os valores observados para o inventário mais amplo do grupo, os pesquisadores estimam que o investimento total em domínios dropcatch seja superior a US$ 7 milhões.

É importante fazer essa distinção:

o valor de mais de US$ 7 milhões é uma estimativa da Infoblox, baseada em dados de compras confirmadas e no inventário atribuído ao grupo. Não representa uma contabilidade pública completa de todas as transações realizadas pelo ator.

Domínios de organizações conhecidas foram adquiridos

Entre os endereços que passaram para o controle do grupo estavam domínios anteriormente associados a organizações e projetos legítimos, incluindo:

uma antiga iniciativa de saúde da General Electric;
uma propriedade relacionada à marca Max Factor;
um domínio criado para a proposta de fusão entre Kroger e Albertsons;
uma antiga empresa de ferramentas para desenvolvimento PlayStation;
uma companhia de cibersegurança já encerrada;
um antigo banco comunitário brasileiro.

Segundo a Infoblox, esses endereços passaram posteriormente a servir conteúdo relacionado à operação de streaming ilegal.

Os domínios também são usados como infraestrutura de malware

A investigação se tornou mais grave quando os pesquisadores descobriram que alguns dos mesmos domínios utilizados para streaming também atuavam como servidores de Command and Control, ou C2.

Um servidor C2 é utilizado para permitir que malware instalado em uma máquina comprometida receba comandos ou envie informações para o operador do ataque.

A Infoblox identificou mais de 31 mil amostras de malware que se comunicaram com domínios ligados ao Sable Squirrel.

Famílias de malware identificadas

Entre as famílias encontradas estão:

Quasar RAT;
AsyncRAT;
DCRat;
NanoCore;
Remcos RAT;
njRAT.

Também foram observadas amostras contendo assinaturas associadas ao HiddenTear. Entretanto, a própria Infoblox ressalta que, nos testes em sandbox realizados pela empresa, essas amostras não chegaram a criptografar arquivos. Por isso, os pesquisadores não afirmam ter confirmado execução de ransomware em ambiente real apenas com base nesses artefatos.

Essa distinção é importante para evitar transformar uma característica encontrada em uma amostra em uma conclusão sobre ataques efetivamente realizados.

Um mesmo domínio pode mostrar streaming para pessoas e controlar malware

Um dos aspectos mais incomuns da operação é o uso duplo da infraestrutura.

Segundo a Infoblox, em alguns casos:

um usuário acessa o domínio e vê uma página de streaming esportivo, enquanto uma máquina infectada utiliza aquele mesmo domínio para comunicação com malware.

Os pesquisadores afirmam ter confirmado 405 domínios utilizados como servidores C2.

As primeiras configurações desse tipo surgiram em novembro de 2025, e 86% da onda observada ocorreu no mês seguinte.

Isso indica que domínios que já estavam operando havia meses ou anos como sites de streaming foram posteriormente adaptados para uma segunda finalidade maliciosa.

Domínios são colocados em operação rapidamente

O grupo aparentemente tenta aproveitar a reputação herdada dos domínios o mais rápido possível.

Entre os domínios para os quais a Infoblox conseguiu relacionar a data de compra à primeira atividade:

24% entraram em operação no mesmo dia;
cerca de 75% estavam ativos dentro de uma semana;
94% foram ativados em até duas semanas.

A mediana observada entre compra e ativação foi de aproximadamente cinco dias.

O problema vai além do Sable Squirrel

A investigação da Infoblox também acompanha outros atores que exploram domínios expirados.

Entre eles estão grupos apelidados pela empresa de:

Stuffy Squirrel

Ativo pelo menos desde 2020 e relacionado a mais de 500 domínios. Segundo a empresa, utiliza sistemas de distribuição de tráfego e JavaScript malicioso para direcionar visitantes para redes de publicidade e notificações indesejadas.

Shady Squirrel

Ativo pelo menos desde julho de 2023 e associado a mais de 700 domínios. A Infoblox afirma ter observado tráfego sendo enviado para golpes de suporte técnico, redes de marketing e atores ligados ao SocGholish.

Swiping Squirrel

Ativo pelo menos desde 2022 e relacionado a mais de 3 mil domínios. Segundo a pesquisa, direciona tráfego herdado para plataformas de publicidade que posteriormente podem revendê-lo para golpes ou distribuição de malware.

Por que ferramentas de segurança podem ter dificuldade para detectar?

Grande parte das soluções de segurança utiliza diferentes sinais para determinar se um domínio é confiável.

A idade do domínio e seu histórico podem ser alguns desses elementos.

Um endereço registrado poucas horas atrás e imediatamente utilizado para distribuir malware tende a parecer mais suspeito.

Um domínio com dez ou quinze anos de história pode apresentar uma aparência completamente diferente.

O problema é que, depois de expirar e mudar de proprietário, o domínio continua sendo o mesmo nome, mas quem está por trás dele pode ter mudado completamente.

Esse cenário mostra por que confiar apenas em idade e reputação histórica pode gerar pontos cegos.

Como empresas podem se proteger?

A principal medida é tratar alterações de propriedade e re-registros de domínios como sinais relevantes dentro das ferramentas de segurança.

Empresas também devem manter inventário adequado dos seus próprios domínios e garantir que ativos antigos sejam renovados ou desativados de maneira controlada.

Gestão de domínios corporativos

Organizações devem manter registro de:

proprietário interno responsável;
registrar utilizado;
datas de vencimento;
renovação automática;
servidores DNS;
utilização atual;
dependências existentes.

Um domínio abandonado pode continuar sendo utilizado por aplicações, parceiros ou sistemas antigos mesmo depois que a empresa acredita que ele não possui mais importância.

Monitoramento DNS

Equipes de segurança também devem analisar:

domínios recentemente re-registrados;
mudanças repentinas de nameserver;
alteração de infraestrutura;
domínios antigos que passam a apontar para novos provedores;
conexões inesperadas para endereços anteriormente legítimos.

A própria pesquisa demonstra que o DNS pode revelar relações que não seriam facilmente visíveis apenas através do conteúdo apresentado em uma página web.

Análise Técnica CyberX

Reputação histórica não significa confiança atual

O ponto mais relevante dessa pesquisa é a separação entre identidade do domínio e identidade do proprietário.

Um domínio pode ter sido legítimo durante dez anos e mudar completamente de finalidade depois de expirar.

Para sistemas de segurança, isso cria um problema de avaliação de confiança.

Uma política baseada apenas em:

idade do domínio;
presença antiga em mecanismos de busca;
backlinks;
reputação histórica;

pode considerar seguro um endereço cujo controle mudou recentemente.

O risco não está apenas no site

Outro aspecto importante é que o domínio pode possuir dependências invisíveis para o usuário.

Mesmo que ninguém mais acesse manualmente o antigo site, aplicações, scripts, bibliotecas, páginas externas e registros DNS podem continuar fazendo referência ao endereço.

Isso cria uma espécie de confiança residual.

Quando um criminoso assume o domínio, ele pode receber tráfego sem precisar convencer cada vítima a visitar um endereço completamente novo.

O uso como C2 aumenta o impacto

No caso do Sable Squirrel, a pesquisa mostra algo ainda mais relevante: alguns domínios foram utilizados simultaneamente como páginas visíveis para usuários e infraestrutura de Command and Control.

Isso dificulta análises simplistas baseadas apenas em verificar o conteúdo da página.

Um analista pode abrir o domínio e encontrar aparentemente apenas um site de streaming, enquanto dispositivos infectados utilizam outro serviço ou caminho no mesmo domínio para comunicação C2.

Empresas precisam tratar domínios como ativos de segurança

Muitas organizações controlam servidores, endpoints, contas cloud e certificados com processos rígidos, mas não aplicam o mesmo nível de governança aos seus domínios.

Essa pesquisa mostra que isso é um erro.

Um domínio antigo pode continuar carregando:

reputação;
tráfego;
links;
integrações;
e-mails;
configurações DNS;
confiança de usuários e ferramentas.

Por isso, abandonar um domínio sem avaliar essas dependências pode criar uma superfície de ataque futura.

Recomendação

A CyberX recomenda que empresas mantenham um inventário completo de domínios corporativos e históricos, incluindo aqueles que não são mais utilizados diretamente.

Antes de permitir que um endereço expire, deve ser realizada uma análise para identificar referências externas, e-mails, registros DNS, sistemas legados e dependências de aplicações.

Para equipes de SOC, também é importante não tratar um domínio como confiável apenas porque ele é antigo.

A combinação de histórico de registro + mudança recente de propriedade + alterações DNS + comportamento atual oferece um sinal muito mais confiável.

Conclusão

A investigação da Infoblox mostra que domínios expirados podem funcionar como ativos valiosos para o cibercrime.

O Sable Squirrel aparentemente transformou esse mercado em parte de uma infraestrutura de larga escala envolvendo streaming esportivo ilegal, promoção de apostas e malware.

O ponto mais preocupante não é somente o investimento estimado em mais de US$ 7 milhões, mas o que esses domínios permitem comprar: histórico, tráfego e confiança acumulados ao longo de anos por outras organizações.

Para empresas e equipes de segurança, a principal lição é direta:

um domínio antigo não deve ser considerado confiável apenas por causa de sua história. É necessário saber quem o controla hoje e como ele está sendo utilizado.

Referências

Esta notícia foi elaborada a partir da matéria publicada pelo The Hacker News em 14 de agosto de 2026 e validada com a série de pesquisas originais publicada pela Infoblox Threat Intel em 13 de agosto de 2026.

AVALIE ESTE CONTEÚDO

Esta análise foi útil?

Ainda não há avaliações.

Hackers gastam mais de US$ 7 milhões em domínios expirados para impulsionar golpes, streaming ilegal e malware