L'achat massif de domaines expirés entraîne la fraude, les logiciels malveillants et le pirate de streaming: l'entreprise derrière le dropcatch

Un rapport de renseignement sur le DNS publié par Infoblox et diffusé par des médias spécialisés confirme que les criminels achètent des domaines à grande échelle expirés - les soi-disant domaines de prises de gouttes- pour profiter de vos signaux de trafic, d'historique et de réputation et rediriger les utilisateurs vers des escroqueries, des paris illégaux et des réseaux de distribution de logiciels malveillants. Selon l'analyse, au cours de la première moitié de 2026, ils ont été réenregistrés sur 50 400 prises de gouttes par jour seulement en gTLD (.com, .net, .org, etc.) et environ 65 000 si les ccTLD sont inclus, qui représente près d'un cinquième des nouvelles inscriptions quotidiennes. Ces chiffres et la configuration du comportement sont confirmés par Infoblox; d'autres énoncés du rapport (comme l'attribution régionale de certaines opérations) sont basés sur la télémétrie et font donc l'objet d'un examen.

Techniquement, la mécanique est simple mais efficace : lorsqu'un domaine expire et passe son délai de grâce, il revient à la « queue » de l'enlèvement des enregistrements et peut être capturé par des services de rétrocommande ou des enchères. Les plateformes spécialisées telles que DropCatch.com utilisent des algorithmes qui essaient d'enregistrer des millisecondes après la libération; lorsqu'il y a plus d'un postulant, le domaine est présenté au meilleur soumissionnaire dans une soumission publique. Cela permet aux acquéreurs malveillants d'obtenir des domaines avec une histoire de liens entrants, des entrées indexées dans les moteurs de recherche, des enregistrements DNS et parfois des messages ou certificats résiduels, des éléments qui peuvent rendre ce domaine plus fiable par les moteurs de recherche et les défenses automatisées.

Le rapport identifie des caractéristiques spécifiques: .net et .xyz dirigent l'activité de réenregistrement par TLD; .com est troisième, et les registrateurs tels que GoDaddy, Namecheap et DropCatch.com apparaissent parmi les canaux habituels d'acquisition. Infoblox documente également qu'un pourcentage significatif de ces domaines sont lancés très rapidement après l'achat: 24% le même jour, 76% en une semaine et 94% en 15 jours, ce qui montre l'intention de les exploiter sans délai.

Un cas illustratif et vérifié par l'analyse est l'opération appelée "Sable Squirrel", qui selon Infoblox aurait investi presque 7 millions de dollars dans les domaines et contrôles expirés plus de 10 000 noms. L'infrastructure liée à cet acteur sert de réseau pour la transmission d'événements sportifs pirates, la promotion de sites de paris et, simultanément, comme relais de commande et de contrôle (C2) pour les familles de malwares comme Quasar RAT, AsyncrAT, DCRat, NanoCore, RAT Remcos et njRAT; le rapport note que plus de 31 000 échantillons de logiciels malveillants ont communiqué avec l'infrastructure affectée à cette opération. Infoblox signale également que certaines de ces mêmes adresses web présentent du contenu en streaming en public tout en fonctionnant comme C2, ce qui démontre la double utilité recherchée par les attaquants.

Ces pratiques touchent un large éventail d'acteurs. Les utilisateurs qui recherchent des événements sportifs gratuits ou du contenu peuvent être redirigés vers des plateformes qui installent des applications malveillantes ou mènent à la fraude et au pari. Les entreprises et les marques subissent des dommages de réputation lorsque leurs anciens domaines - ou imitations similaires - sont réutilisés pour des activités illicites. Pour les équipes de sécurité, l'existence de tant de domaines "en gros" complique la hiérarchisation, car de nombreuses solutions continuent d'utiliser l'âge et l'histoire d'un domaine comme signes de confiance.

Les conséquences réelles comprennent l'augmentation des campagnes de malware et l'accès initial aux réseaux d'entreprises, la fraude publicitaire et la monétisation pour le trafic illicite, et les difficultés à bloquer le contenu malveillant sans affecter le trafic légitime. De plus, l'utilisation de techniques d'étanchéité et de systèmes de distribution du trafic qui filtrent par géolocalisation ou comportement des visiteurs permet aux pages malveillantes de rester cachées des scanners et de la plupart des enquêtes publiques.

Quant aux mesures concrètes, elles diffèrent selon le profil. Pour les utilisateurs finals : évitez de télécharger des applications ou des liens suivants qui arrivent de sites de streaming non officiels, vérifiez la réputation du domaine (pas seulement l'ancienneté), maintenez le système et les antivirus à jour, et activez les protections de courrier (SPF / DKIM / DMARC) dans votre entreprise ou vos comptes personnels si possible. Pour les équipes de sécurité et les administrateurs : intégrer le renseignement de domaine expiré et le DNS passif à la télémétrie; ne pas se fier exclusivement à l'ancienneté du domaine comme indicateur de confiance; bloquer ou inspecter les domaines qui changent récemment le registre et surveiller les nouveaux certificats TLS liés à des noms avec l'historique. Utilisez des listes noires dynamiques combinées avec la catégorisation contextuelle et évaluez la mise en œuvre de synkholding coordonné avec les autorités pour des domaines clairement malveillants.

Les entreprises et les marques devraient auditer leur portefeuille de domaines et leurs politiques de renouvellement, permettre le transfert et le bloc d'authentification de deux facteurs dans les comptes de registre, et envisager d'enregistrer des variations critiques ou des domaines avec une confusion potentielle pour empêcher les acteurs malveillants de profiter d'eux. Les registres et les décideurs peuvent atténuer les risques en améliorant les guichets de recouvrement et la transparence des enchères, et en facilitant la responsabilité pour les opérations d'enchères; des organisations comme l'ICANN documentent le cycle de vie d'un domaine et les bonnes pratiques à examiner ( ICANN : cycle de vie du domaine).

Parmi les limites et les zones d'incertitude, il convient de noter que l'attribution géographique et le calcul exact de l'avantage criminel sont souvent fondés sur des corrélations de télémétrie et de guérison des preuves, et non sur des admissions publiques, de sorte que ces évaluations peuvent être mises à jour avec de nouvelles informations. Il est également possible qu'une partie de l'activité documentée par Infoblox comprenne des acquisitions légitimes d'investisseurs ou de promoteurs de marques; la présence de trafic résiduel n'implique pas nécessairement une intention malveillante tant que le domaine n'est pas utilisé de manière abusive.

La conclusion pratique est que l'achat en masse de domaines expirés n'est plus un risque théorique: est un vecteur d'exploitation exploité pour la fraude, la distribution de malwares et les systèmes de monétisation illicites. Les défenseurs devraient cesser de considérer l'âge d'un domaine comme un signal immuable de confiance et déployer des contrôles techniques et de processus visant à détecter les changements rapides dans les déclarants, les modèles de redirection et les corrélations avec l'infrastructure de logiciels malveillants. Pour plus de contexte sur les services qui automatisent ces captures, la plateforme DropCatch elle-même maintient des informations publiques sur la dynamique de la "Daily Drop" (Daily Drop) ( DropCatch) et le rapport Infoblox fournit l'analyse détaillée qui soutient ces chiffres sur ses canaux officiels ( Infoblox).