Cibercriminosos compram histórico e confiança: Infoblox Threat Intel revela a vida criminosa de domínios expirados

imagem gerada por IA

Flavio Sartori

Uma nova pesquisa da Infoblox Threat Intel mostra como cibercriminosos estão gastando milhões de dólares para adquirir domínios expirados e reaproveitá-los na distribuição de malware, em golpes, transmissões ilegais e jogos de azar on-line. O levantamento identificou cerca de 65 mil domínios registrados novamente por dia no primeiro semestre de 2026, em uma prática batizada de "dropcatch" — quando um endereço expirado volta a ficar disponível e é reaproveitado por outro proprietário, muitas vezes mal-intencionado.

O dropcatch ocorre quando domínios expirados voltam a ficar disponíveis para registro, algo que acontece com dezenas de milhares de endereços todos os dias. Segundo a Infoblox, esses domínios representam quase 20% de todos os novos domínios observados diariamente na internet — um volume que passou despercebido por boa parte da indústria de segurança até agora.

Ao adquirir um domínio expirado, o agente mal-intencionado herda a confiança, os backlinks e o tráfego de web construídos pelo antigo proprietário, o que funciona como um atalho para conquistar credibilidade sem precisar construí-la do zero. A velocidade de reaproveitamento também chamou atenção dos pesquisadores: de acordo com a Infoblox, 24% desses domínios voltam a ficar ativos no mesmo dia em que são re-registrados, 76% em até sete dias e 94% em até duas semanas — evidência de que a arma já está pronta para ser usada quase imediatamente após a compra.

Não são apenas domínios legítimos que despertam o interesse dos criminosos. Também existe um mercado ativo para domínios já conhecidos por atividades maliciosas, que continuam sendo úteis mesmo depois de expirados, porque muitas vezes já estão embutidos em sites comprometidos que seguem direcionando visitantes desavisados.

Uma das investigações da pesquisa identificou um agente batizado pela Infoblox de Sable Squirrel, que teria investido mais de US$ 7 milhões na compra de mais de dez mil domínios expirados — o maior orçamento de aquisição de domínios já identificado pela empresa para um único agente de ameaça. Esses domínios sustentam um ecossistema criminoso que envolve transmissões esportivas ilegais, jogos de azar on-line e distribuição de malware, com operação ligada a marcas de pirataria esportiva de língua vietnamita, como Xoilac, Cakhia, 90phut, Socolive e MiTom.

O grupo adota um modelo de dois eixos: de um lado, compra domínios dropcatch premium em leilões por meio de plataformas como DropCatch.com, GoDaddy, Namecheap e Dynadot, especificamente para herdar o histórico de registro, o tráfego real de entrada e os backlinks já construídos por seus antigos donos; de outro, registra domínios "sósias" recém-criados para sustentar sua rede de streaming ilegal. A Sable Squirrel também opera servidores de comando e controle (C2) de diversos trojans de acesso remoto (RATs) na mesma infraestrutura usada para distribuir conteúdo ilegal, associados a mais de 31 mil amostras de malware identificadas pelos pesquisadores.

Ao analisar outros agentes recém-identificados, a Infoblox Threat Intel encontrou milhares de domínios dropcatch incorporados a milhares de sites comprometidos, que continuam direcionando vítimas para diferentes conteúdos maliciosos. Entre as descobertas de maior destaque está um agente rastreado como Shady Squirrel, que usa diferentes táticas para conduzir possíveis vítimas à SocGholish, conhecida infraestrutura de "falsas atualizações" que foi alvo da Operação Endgame em junho de 2026.

Ativo desde pelo menos 2023 e controlando mais de 700 domínios, o Shady Squirrel distribuía malware por meio de scareware — alertas falsos criados para assustar o usuário — e centrais telefônicas de golpe antes de firmar, em julho, uma parceria com a TA569, operadora da SocGholish. Segundo a Infoblox, a SocGholish teria retomado o acesso a milhares de sites comprometidos ao se aliar a esse agente apenas dias depois de sua infraestrutura ter sido desarticulada pela operação policial internacional.

"O enorme volume de domínios dropcatch chama a atenção. Já sabíamos que criminosos compravam domínios expirados para reutilizá-los, mas ainda não havia clareza sobre como esses endereços eram usados nem sobre quanto esses agentes estavam dispostos a gastar", afirma a Dra. Renée Burton, vice-presidente da Infoblox Threat Intel.

"Domínios expirados podem funcionar como um atalho para conquistar confiança e tráfego. Por isso, os domínios dropcatch oferecem um risco maior do que a média dos domínios recém-registrados", complementa a pesquisadora.

A pesquisa também identificou outros três agentes de ameaça — Stuffy Squirrel, Shady Squirrel e Swiping Squirrel — que compram domínios maliciosos expirados para herdar o tráfego de vítimas vindo de sites anteriormente comprometidos. Esses usuários são redirecionados para golpes, malware e fraudes publicitárias. Juntos, os casos mostram como agentes de ameaça lucram com infraestruturas construídas por outros criminosos, num modelo de reaproveitamento que reduz custos e acelera o retorno financeiro de campanhas maliciosas.

A investigação identificou ainda que parte desse tráfego é monetizado por meio de parcerias com redes de publicidade de baixa qualidade, incluindo a ExoClick, uma rede russa de anúncios pop-under, e a PushHouse, outra empresa de publicidade agressiva — o que revela como o ecossistema de dropcatch se conecta a esquemas mais amplos de monetização fraudulenta na internet.

O estudo da Infoblox Threat Intel foi publicado em uma série de três partes. A primeira explica como os domínios dropcatch mantêm confiança, reputação e tráfego mesmo depois de expirarem, criando oportunidades para abusos. A segunda detalha a investigação sobre a Sable Squirrel e a operação criminosa de mais de US$ 7 milhões em domínios expirados. A terceira apresenta os agentes Stuffy Squirrel, Shady Squirrel e Swiping Squirrel, que compram domínios maliciosos expirados para herdar o tráfego de vítimas de sites já comprometidos.