- 29,121
- 46
- 8 Ноя 2022
Группировка Sable Squirrel скупила более 160 просроченных доменов почти на полмиллиона долларов.
<div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden">
<div itemprop="articleBody">Старый адрес в интернете может выглядеть надёжнее нового, даже если прежний владелец давно его потерял. Специалисты Infoblox в серии отчётов [ 1 , 2 , 3 ] описали обнаруженную экономику вокруг просроченных доменов . Злоумышленники скупают адреса с многолетней историей, получают оставшийся трафик и доверие защитных систем, а затем используют приобретения для мошенничества, чтобы распространять вредоносные программы, вести нелегальные трансляции и азартные игры.
Масштаб рынка оказался огромным. В первой половине 2026 года Infoblox ежедневно фиксировала более 50 тыс. повторно зарегистрированных адресов только в общих доменных зонах, а с учётом национальных зон число приближалось к 65 тыс. Около 20% новых регистраций в общих доменных зонах приходилось на адреса, у которых уже были прежние владельцы. Домены освобождаются, когда компании закрываются, проекты завершаются или истекает срок оплаты.
Ценность старого адреса заключается не только в его имени. После того как домен регистрируют повторно, могут сохраниться внешние ссылки, посетители и накопленная репутация. Защитные системы, которые учитывают возраст и историю домена, способны считать такой адрес менее подозрительным, чем совершенно новый. Прежняя инфраструктура тоже иногда продолжает обращаться к домену, хотя владелец уже сменился.
Особенно крупную схему Infoblox связала с группой Sable Squirrel, которая контролирует более 10 тыс. доменов. Специалисты подтвердили, что группировка купила примерно 160 просроченных адресов на сумму свыше $430 тыс., а общие расходы группировки на такие домены оценили более чем в $7 млн. Купленные адреса раньше принадлежали СМИ, компаниям, некоммерческим организациям, спортивным проектам и другим вполне легальным владельцам.
Sable Squirrel использует инфраструктуру, чтобы вести нелегальные спортивные трансляции и продвигать азартные игры среди аудитории во Вьетнаме и других странах. Однако часть тех же адресов одновременно обслуживает заражённые компьютеры. Infoblox обнаружила более 31 тыс. образцов вредоносных программ, которые связывались с доменами группировки. Среди них встречались Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos, njRAT и образцы с признаками программы-вымогателя HiddenTear.
Отдельную схему построили группировки, которые скупают домены, прежде принадлежавшие другим злоумышленникам. Взломанные сайты могут годами содержать старый вредоносный код и продолжать отправлять запросы на такой адрес. Новый владелец получает готовый поток посетителей, не взламывая сайты самостоятельно, после чего перенаправляет людей на рекламу, мошеннические страницы или вредоносные программы. Infoblox назвала среди таких операторов Stuffy Squirrel и Shady Squirrel.
Некоторые схемы работают годами и специально скрываются от автоматических средств проверки. Stuffy Squirrel действует как минимум с 2020 года и контролирует более 500 доменов, а Shady Squirrel в 2026 году перенаправляла посетителей на мошенническую техническую поддержку, а затем начала передавать трафик SocGholish . По оценке Infoblox, просроченный домен сегодня может сохранить не только старую репутацию, но и готовую аудиторию, поэтому забытый интернет-адрес способен стать ценным активом уже для совершенно другого владельца.
<div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden">
<div itemprop="articleBody">Старый адрес в интернете может выглядеть надёжнее нового, даже если прежний владелец давно его потерял. Специалисты Infoblox в серии отчётов [ 1 , 2 , 3 ] описали обнаруженную экономику вокруг просроченных доменов . Злоумышленники скупают адреса с многолетней историей, получают оставшийся трафик и доверие защитных систем, а затем используют приобретения для мошенничества, чтобы распространять вредоносные программы, вести нелегальные трансляции и азартные игры.
Масштаб рынка оказался огромным. В первой половине 2026 года Infoblox ежедневно фиксировала более 50 тыс. повторно зарегистрированных адресов только в общих доменных зонах, а с учётом национальных зон число приближалось к 65 тыс. Около 20% новых регистраций в общих доменных зонах приходилось на адреса, у которых уже были прежние владельцы. Домены освобождаются, когда компании закрываются, проекты завершаются или истекает срок оплаты.
Ценность старого адреса заключается не только в его имени. После того как домен регистрируют повторно, могут сохраниться внешние ссылки, посетители и накопленная репутация. Защитные системы, которые учитывают возраст и историю домена, способны считать такой адрес менее подозрительным, чем совершенно новый. Прежняя инфраструктура тоже иногда продолжает обращаться к домену, хотя владелец уже сменился.
Особенно крупную схему Infoblox связала с группой Sable Squirrel, которая контролирует более 10 тыс. доменов. Специалисты подтвердили, что группировка купила примерно 160 просроченных адресов на сумму свыше $430 тыс., а общие расходы группировки на такие домены оценили более чем в $7 млн. Купленные адреса раньше принадлежали СМИ, компаниям, некоммерческим организациям, спортивным проектам и другим вполне легальным владельцам.
Sable Squirrel использует инфраструктуру, чтобы вести нелегальные спортивные трансляции и продвигать азартные игры среди аудитории во Вьетнаме и других странах. Однако часть тех же адресов одновременно обслуживает заражённые компьютеры. Infoblox обнаружила более 31 тыс. образцов вредоносных программ, которые связывались с доменами группировки. Среди них встречались Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos, njRAT и образцы с признаками программы-вымогателя HiddenTear.
Отдельную схему построили группировки, которые скупают домены, прежде принадлежавшие другим злоумышленникам. Взломанные сайты могут годами содержать старый вредоносный код и продолжать отправлять запросы на такой адрес. Новый владелец получает готовый поток посетителей, не взламывая сайты самостоятельно, после чего перенаправляет людей на рекламу, мошеннические страницы или вредоносные программы. Infoblox назвала среди таких операторов Stuffy Squirrel и Shady Squirrel.
Некоторые схемы работают годами и специально скрываются от автоматических средств проверки. Stuffy Squirrel действует как минимум с 2020 года и контролирует более 500 доменов, а Shady Squirrel в 2026 году перенаправляла посетителей на мошенническую техническую поддержку, а затем начала передавать трафик SocGholish . По оценке Infoblox, просроченный домен сегодня может сохранить не только старую репутацию, но и готовую аудиторию, поэтому забытый интернет-адрес способен стать ценным активом уже для совершенно другого владельца.
- Источник новости
- www.securitylab.ru
