Abgelaufene Domains für Malware und Betrug wiederverwendet: Angriffe nutzen geerbtes Vertrauen aus

Eine „alte“ Domain kann zur kriminellen Infrastruktur werden

Eine abgelaufene Domain beginnt nicht zwangsläufig bei null. Wird sie von einem neuen Betreiber registriert, kann sie weiterhin Rest-Traffic, Backlinks, Suchmaschineneinträge, DNS-Konfigurationen und eine vom vorherigen Eigentümer aufgebaute Reputation aufweisen.

Genau diesen Mechanismus analysierte Infoblox Threat Intel in einer am 15. August 2026 veröffentlichten Untersuchung. Kriminelle erwerben aufgegebene Domains, auch Dropcatch-Domains genannt, um Malware zu verbreiten, Betrugsangebote zu bewerben oder Command-and-Control-Server einzurichten.

Das Phänomen hat erhebliche Ausmaße. Täglich werden rund 65.000 Domains erneut registriert, die zuvor anderen Betreibern gehörten. Im ersten Halbjahr 2026 machten diese Registrierungen fast 20 % aller Registrierungen aus. Damit hatte etwa jede fünfte „neue“ Domain bereits eine Vorgeschichte.

Das Alter einer Domain kann die Bewertung durch Reputationssysteme, Suchmaschinen und Analysewerkzeuge beeinflussen. Eine ursprünglich vor zehn Jahren registrierte Domain kann weniger verdächtig erscheinen als eine gerade erst erstellte Domain – selbst wenn sie inzwischen von einem Angreifer übernommen wurde.

Die am stärksten betroffenen TLDs und das Problem der Inhaberschaft

Beschränkt man die Betrachtung auf generische Top-Level-Domains, liegt der Durchschnitt bei rund 50.400 Dropcatch-Domains pro Tag. 15 TLDs vereinen etwa 92 % der Aktivitäten auf sich.

Die höchsten Werte entfallen auf:

• .net, bei dem fast 30 % der neu registrierten Domains bereits früher genutzt wurden;
• .xyz, ebenfalls mit einem Anteil von knapp 30 %;
• .com, bei dem 24,5 % der Registrierungen eine frühere Nutzung aufwiesen.

Wer diese Domains tatsächlich kontrolliert, lässt sich nur schwer nachvollziehen. WHOIS-Daten können durch Privacy-Dienste verborgen sein. Zudem erschweren Übertragungen, Auktionen und Parking-Phasen die Nachverfolgung der Besitzkette.

Bei der Übergabe können außerdem für Angreifer nützliche Elemente zurückbleiben. Dazu gehören weiterhin an die alte Domain adressierte E-Mails, auf Drittseiten veröffentlichte Links, indexierte Seiten und noch aktive DNS-Einträge.

Ein besonderes Risiko stellen Dangling CNAMEs dar. Dabei verweist ein Eintrag weiterhin auf eine externe Ressource, die nicht mehr vom ursprünglichen Inhaber kontrolliert wird. Wer diese Ressource registrieren oder übernehmen kann, erhält möglicherweise indirekte Kontrolle über den zugehörigen Dienst.

Sable Squirrel hat mehr als 10.000 Domains erworben

Das am stärksten strukturierte Beispiel betrifft den Akteur Sable Squirrel, der fast 7 Millionen US-Dollar in den Erwerb von mehr als 10.000 abgelaufenen Domains investiert haben soll.

Die Domains bilden ein Ökosystem mit mehreren Funktionen: illegales Sport-Streaming, Werbung für Glücksspielangebote sowie die Verbreitung und Steuerung von Malware. Sable Squirrel betreibt Plattformen unter den Marken Xoilac, Cakhia und 90phut, die sich an Nutzer in Vietnam, Korea, Japan und Australien richten.

Besucher dieser Websites werden zu Wettplattformen weitergeleitet. Dieselben Domains können jedoch auch eine technisch weitaus gefährlichere Funktion übernehmen und als C2-Server für verschiedene Remote Access Trojans dienen:

• Quasar RAT;
• AsyncRAT;
• DCRat;
• Remcos RAT.

So kann eine scheinbar mit Unterhaltung verbundene Domain Teil der Infrastruktur werden, über die Befehle an infizierte Systeme übermittelt werden.

Zu den der Operation zugerechneten Domains gehören healthymagination.com, das zuvor mit einer Gesundheitsinitiative von General Electric verbunden war, sowie rezilion.com, das einem Cybersecurity-Unternehmen gehörte, dessen Vermögenswerte 2024 an GitLab verkauft wurden.

Der Wert ist daher nicht nur technischer Natur. Der Angreifer kann sich auch einen Teil des Vertrauens aneignen, das mit dem früheren Inhaber verbunden war – etwa mit einer Gesundheitsorganisation, einem Technologieunternehmen oder einem Cybersecurity-Anbieter.

Die Aktivierung erfolgt häufig innerhalb weniger Tage

Die Geschwindigkeit ist ein zentraler Bestandteil dieses Modells. Nach der erneuten Registrierung macht Sable Squirrel die Domains tendenziell betriebsbereit, bevor Reputationssysteme ihre Bewertung aktualisieren können.

Der Analyse zufolge:

• werden 24 % der Domains noch am selben Tag aktiviert;
• gehen 76 % innerhalb von sieben Tagen in Betrieb;
• sind 94 % innerhalb von zwei Wochen aktiv.

Dieses Zeitfenster ermöglicht es, bestehenden Traffic, Backlinks und Suchmaschineneinträge schnell auszunutzen. Eine Domain, die plötzlich Weiterleitungen, Wettseiten oder Schadcode hostet, kann eine gewisse Zeit lang weiterhin von ihrer zuvor aufgebauten Reputation profitieren.

Das Problem betrifft auch den E-Mail-Verkehr. Nachrichten an den früheren Eigentümer können weiterhin Systeme oder Postfächer erreichen, die mit der Domain verbunden sind. Hat die Organisation Konfigurationen, Berechtigungen und DNS-Verweise nicht ordnungsgemäß widerrufen, kann der neue Inhaber einen Teil des Datenverkehrs abfangen oder für Impersonation-Kampagnen missbrauchen.

„Scavenger“ verwenden bereits kompromittierte Websites erneut

Nicht alle Akteure verfolgen das Modell des groß angelegten Domainkaufs. Infoblox beobachtet auch Stuffy Squirrel, Shady Squirrel und Swiping Squirrel, die als Scavenger-Gruppen bezeichnet werden.

Diese Betreiber suchen nach abgelaufenen Domains, die zuvor bereits von anderen Kriminellen kompromittiert wurden. Ihr Ziel besteht darin, den durch Infektionen erzeugten Traffic zu übernehmen, anstatt ein eigenes Verteilungsnetz von Grund auf aufzubauen.

Shady Squirrel, das als russischsprachig gilt und mindestens seit Juli 2023 aktiv ist, leitet diesen Traffic zu SocGholish sowie zu Betrugsnetzwerken weiter, die auf gefälschten technischen Support setzen.

Der Analyse zufolge soll SocGholish wenige Tage nach der Unterbrechung seiner Infrastruktur durch Strafverfolgungsbehörden gemeinsam mit Shady Squirrel den Zugriff auf Tausende kompromittierte Websites wiedererlangt haben. Der Fall zeigt, wie eine kriminelle Operation mithilfe bereits exponierter Websites und Domains neu gestartet werden kann, ohne die anfängliche Kompromittierungsphase vollständig zu wiederholen.

Was Organisationen prüfen sollten

Das Alter einer Domain ist kein Beleg für ihre Vertrauenswürdigkeit. Organisationen sollten die aktuelle Kontrolle und das jüngste Verhalten überprüfen – insbesondere dann, wenn eine Domain den Registrar, die Nameserver, das Hosting oder ihre DNS-Konfiguration wechselt.

Zu den vorrangigen Kontrollen gehören:

• Überwachung von Änderungen bei Inhaberschaft und Providern;
• regelmäßige Überprüfung von CNAMEs, DNS-Einträgen und Verweisen auf aufgegebene Ressourcen;
• Analyse von Weiterleitungen, Inhalten und plötzlichen Traffic-Veränderungen;
• Prüfung der Nutzung alter Backlinks und weiterhin indexierter Seiten;
• Kontrolle von E-Mails an nicht mehr verwaltete Domains oder Postfächer;
• Korrelation der Indikatoren mit Quasar RAT, AsyncRAT, DCRat, Remcos RAT und SocGholish;
• sofortige Neubewertung reaktivierter Domains, da sie noch am selben Tag aktiv werden können.

Für dieses Risiko gibt es keinen einzelnen Patch. Die Abwehr erfordert eine Kombination aus Inhaberschaftsprüfung, DNS-Monitoring und Traffic-Analyse. Auch Reputationssysteme sollten Vertrauen nicht allein aufgrund des Domainalters oder ihrer früheren Historie vergeben.