Der massive Kauf abgelaufener Domains treibt Betrug, Malware und Streaming-Pirate an: das Geschäft hinter dem Dropcatch

Ein von Infoblox veröffentlichter und von spezialisierten Medien verbreiteter Nachrichtenbericht über DNS bestätigt, dass Kriminelle große abgelaufene Domains kaufen - die sogenannten Dropcatch-Domains- Nutzen Sie Ihre Verkehrs-, Geschichte- und Rufsignale und leiten Sie Benutzer zu Betrug, illegalen Wetten und Malware-Vertriebsnetzwerken um. Laut der Analyse wurden sie in der ersten Hälfte des Jahres 2026 um ca. 50,400 Dropcatch täglich nur in gTLDs (.com, .net, .org, etc.) und etwa 65.000 wenn ccTLDs enthalten sind, die fast ein Fünftel der neuen täglichen Inschriften darstellt. Diese Zahlen und das Verhaltensmuster werden durch Infoblox bestätigt; andere Aussagen im Bericht (wie z.B. die regionale Zuschreibung bestimmter Operationen) sind telemetriebasiert und unterliegen daher einer Überprüfung.

Technisch ist die Mechanik einfach, aber effektiv: Wenn eine Domain abläuft und ihre Gnadenzeit vergeht, kehrt sie zum "Tail" der Plattenentnahme zurück und kann von Backorder-Diensten oder Auktionen erfasst werden. Spezielle Plattformen wie DropCatch.com verwenden Algorithmen, die versuchen, Millisekunden nach der Veröffentlichung zu registrieren; wenn es mehr als einen Postulant gibt, wird die Domain an den besten Bieter in einem öffentlichen Angebot induziert. Dies ermöglicht böswilligen Erwerbern Domains mit einer Geschichte der eingehenden Links zu erhalten, indizierte Einträge in Suchmaschinen, DNS-Aufzeichnungen und manchmal Restpost oder Zertifikate, Elemente, die diese Domain durch Suchmaschinen und automatisierte Abwehre zuverlässiger machen können.

Der Bericht identifiziert spezifische Muster: .net und .xyz führen die Re-Registrierungsaktivität durch TLD; .com ist dritte, und Registratoren wie GoDaddy, Namecheap und DropCatch.com erscheinen unter den üblichen Kanälen der Akquisition. Infoblox dokumentiert auch, dass ein signifikanter Prozentsatz dieser Domains sehr schnell nach dem Kauf gestartet wird: 24% am selben Tag, 76% in einer Woche und 94% in 15 Tagen, was die Absicht zeigt, sie unverzüglich auszunutzen.

Ein illustrativer Fall, der von der Analyse geprüft wird, ist die Operation "Sable Squirrel", die laut Infoblox fast investiert hätte $7 Millionen in abgelaufenen Domains und Kontrollen mehr als 10.000 Namen. Die mit diesem Schauspieler verbundene Infrastruktur dient als Netzwerk für die Übertragung von Piratensportereignissen, die Förderung von Wett-Sites und gleichzeitig als Befehls- und Kontroll-Backend (C2) für Malware-Familien wie Quasar RAT, AsyncrAT, DCRat, NanoCore, RAT Remcos und njRAT; der Bericht stellt fest, dass mehr als 31.000 Malware-Proben haben mit der dieser Operation zugeordneten Infrastruktur kommuniziert. Infoblox berichtet auch, dass einige dieser Web-Adressen Streaming-Inhalte in der Öffentlichkeit während des Betriebs wie C2 präsentieren, die das von den Angreifern gesuchte duale Dienstprogramm demonstrieren.

Diese Praktiken betreffen eine breite Palette von Akteuren. Nutzer, die nach kostenlosen Sportveranstaltungen oder Inhalten suchen, können auf Plattformen umgeleitet werden, die schädliche Anwendungen installieren oder zu Betrug und Wetten führen. Unternehmen und Marken leiden an Rufschäden, wenn ihre alten Domains - oder ähnliche Nachahmungen - für unerlaubte Aktivitäten wiederverwendet werden. Für Sicherheitsteams erschwert die Existenz so vieler "wholesale" Domains die Priorisierung, weil viele Lösungen das Alter und die Geschichte einer Domain weiterhin als Vertrauenszeichen nutzen.

Die realen Konsequenzen umfassen erhöhte Malware-Kampagnen und anfänglichen Zugang zu Unternehmensnetzwerken, Werbebetrug und Monetarisierung für illegalen Verkehr und Schwierigkeiten bei der Blockierung von bösartigen Inhalten, ohne legitimen Verkehr. Darüber hinaus ermöglicht die Verwendung von Dichtungstechniken und Verkehrsverteilungssystemen, die durch Geolokation oder Besucherverhalten filtern, die bösartigen Seiten vor Scannern und den meisten öffentlichen Untersuchungen versteckt zu bleiben.

Bei konkreten Maßnahmen unterscheiden sich die Schritte je nach Profil. Für Endbenutzer: vermeiden Sie das Herunterladen von Apps oder folgenden Links, die von inoffiziellen Streaming-Seiten kommen, überprüfen Sie den Domain-Reputation (nicht nur Seniorität), halten Sie das System und Antiviren-Update, und aktivieren Sie Mail-Schutz (SPF / DKIM / DMARC) in Ihrem Geschäft oder persönlichen Konten, wenn möglich. Für Sicherheitsteams und Administratoren: verfallene Domäneninformationen und passive DNS in die Telemetrie einbinden; verlassen Sie sich nicht ausschließlich auf die Seniorität der Domain als Vertrauensindikator; blockieren oder inspizieren Domänen, die das Register kürzlich ändern und neue TLS-Zertifikate überwachen, die mit Namen mit Geschichte verknüpft sind. Verwenden Sie dynamische schwarze Listen kombiniert mit kontextueller Kategorisierung und bewerten Sie die Implementierung von Synkholding koordiniert mit Behörden für deutlich bösartige Domains.

Unternehmen und Marken sollten ihre Domain-Portfolio- und -Erneuerungsrichtlinien überprüfen, Transfer- und Authentifizierungsblock von zwei Faktoren in den Registrierungskonten aktivieren und kritische Variationen oder Domänen mit potenzieller Verwirrung aufzeichnen, um schädliche Akteure davon abzuhalten. Register und politische Entscheidungsträger können die Risiken durch die Verbesserung der Verwertungsfenster und die Transparenz der Auktionen mildern und die Haftung für Auktionstransaktionen erleichtern; Organisationen wie ICANN dokumentieren den Lebenszyklus einer zu überprüfenden Domain und bewährter Praktiken ( ICANN: Domänenlebenszyklus)

Unter den Einschränkungen und Ungewissheiten ist zu beachten, dass die geografische Zuschreibung und die genaue Berechnung des strafrechtlichen Nutzens oft auf Telemetrie- und Beweissicherungskorrelationen beruhen, nicht auf öffentlichen Zulassungen, so dass diese Bewertungen mit neuen Informationen aktualisiert werden können. Es ist auch möglich, dass ein Teil der von Infoblox dokumentierten Aktivität legitime Akquisitionen von Investoren oder Markenvertretern umfasst; das Vorhandensein von Restverkehr bedeutet nicht unbedingt böswillige Absicht, bis die Domain missbräuchlich verwendet wird.

Die praktische Schlussfolgerung ist, dass der Massenkauf abgelaufener Domains kein theoretisches Risiko mehr ist: ist ein operativer Vektor für Betrug, Malware-Verteilung und illegale Monetarisierung Systeme ausgenutzt. Defender sollten aufhören, das Alter einer Domain als ein unveränderliches Signal des Vertrauens zu betrachten und technische und Prozesskontrollen bereitzustellen, die darauf abzielen, schnelle Änderungen in Registranten, Umleitungsmustern und Korrelationen mit Malware-Infrastruktur zu erkennen. Für mehr Kontext zu Dienstleistungen, die diese Fänge automatisieren, hält die DropCatch-Plattform selbst öffentliche Informationen über die Dynamik des "Daily Drop" ( DropCatch), und der Infoblox-Bericht enthält die detaillierte Analyse, die diese Zahlen auf seinen offiziellen Kanälen unterstützt ( Infoblox)