Dominios caducados reutilizados para malware y estafas: el ataque explota la confianza heredada

Un dominio “antiguo” puede convertirse en infraestructura criminal

Un dominio caducado no siempre empieza de cero. Cuando lo registra un nuevo propietario, puede conservar tráfico residual, backlinks, resultados en los motores de búsqueda, configuraciones DNS y una reputación construida por su anterior titular.

Este es el mecanismo analizado por Infoblox Threat Intel en una investigación publicada el 15 de agosto de 2026. Los ciberdelincuentes compran dominios abandonados, también llamados dropcatch domains, para distribuir malware, promover fraudes o crear servidores de comando y control.

El fenómeno tiene una magnitud considerable. Cada día se vuelven a registrar unos 65.000 dominios que antes pertenecían a otros titulares. Durante el primer semestre de 2026, estos registros representaron casi el 20 % del total: aproximadamente uno de cada cinco dominios “nuevos” ya tenía un historial previo.

La antigüedad del nombre puede influir en los sistemas de reputación, los motores de búsqueda y las herramientas de análisis. Un dominio registrado originalmente diez años antes puede parecer menos sospechoso que uno creado recientemente, aunque entretanto haya sido adquirido por un actor malicioso.

Los TLD más afectados y el problema de la titularidad

Si se limita el análisis a los dominios genéricos de nivel superior, la media alcanza unos 50.400 dominios dropcatch diarios. Quince TLD concentran aproximadamente el 92 % de la actividad.

Los valores más elevados corresponden a:

• .net, con casi el 30 % de los nuevos registros utilizados anteriormente;
• .xyz, también cerca del 30 %;
• .com, donde el 24,5 % de los registros tenía un historial previo.

Reconstruir quién controla realmente estos dominios no es sencillo. Los datos WHOIS pueden estar protegidos por servicios de privacidad, mientras que las transferencias, subastas y periodos de aparcamiento dificultan el seguimiento de la cadena de propiedad.

El cambio de titularidad también puede dejar elementos útiles para el atacante. Entre ellos se incluyen correos electrónicos que todavía apuntan al dominio anterior, enlaces antiguos publicados en sitios de terceros, páginas indexadas y registros DNS que siguen activos.

Un riesgo específico son los dangling CNAME. En este escenario, un registro continúa apuntando a un recurso externo que ya no está bajo el control del titular original. Quien consiga registrar o reclamar ese recurso puede obtener el control indirecto del servicio asociado.

Sable Squirrel ha comprado más de 10.000 dominios

El ejemplo más estructurado corresponde al actor denominado Sable Squirrel, que habría invertido casi 7 millones de dólares en la compra de más de 10.000 dominios caducados.

Estos dominios sustentan un ecosistema con varias funciones: retransmisiones deportivas ilegales, promoción de apuestas y distribución o control de malware. Sable Squirrel gestiona plataformas asociadas a las marcas Xoilac, Cakhia y 90phut, dirigidas a usuarios vietnamitas, coreanos, japoneses y australianos.

Los visitantes de estos sitios son redirigidos a plataformas de apuestas. Sin embargo, los mismos dominios también pueden desempeñar una función más técnica y peligrosa, actuando como servidores C2 para distintos troyanos de acceso remoto:

• Quasar RAT;
• AsyncRAT;
• DCRat;
• Remcos RAT.

De este modo, un dominio aparentemente relacionado con el entretenimiento puede convertirse en parte de la infraestructura utilizada para enviar comandos a sistemas infectados.

Entre los dominios atribuidos a la operación figuran healthymagination.com, asociado anteriormente a una iniciativa sanitaria de General Electric, y rezilion.com, perteneciente a una empresa de ciberseguridad cuyos activos fueron vendidos a GitLab en 2024.

Por tanto, el valor no es únicamente técnico. El atacante también puede apropiarse de parte de la confianza asociada al titular anterior: una organización sanitaria, una empresa tecnológica o una compañía de ciberseguridad.

La activación suele producirse en pocos días

La rapidez es un elemento central del modelo. Tras el nuevo registro, Sable Squirrel tiende a poner el dominio en funcionamiento antes de que los sistemas de reputación puedan actualizar su evaluación.

Según el análisis:

• el 24 % de los dominios se activa el mismo día;
• el 76 % entra en funcionamiento en un plazo de siete días;
• el 94 % está operativo en un plazo de dos semanas.

Esta ventana permite aprovechar rápidamente el tráfico, los backlinks y los resultados de búsqueda existentes. Un dominio que de repente aloja redirecciones, páginas de apuestas o código malicioso puede seguir beneficiándose durante cierto tiempo de la reputación acumulada anteriormente.

El problema también afecta al correo electrónico. Los mensajes destinados al anterior propietario pueden seguir llegando a sistemas o buzones asociados al dominio. Si la organización no ha revocado correctamente las configuraciones, autorizaciones y referencias DNS, el nuevo titular puede interceptar parte del tráfico o utilizarlo en campañas de suplantación de identidad.

Los “scavengers” reutilizan sitios ya comprometidos

No todos los actores siguen el modelo de compra a gran escala. Infoblox también supervisa a Stuffy Squirrel, Shady Squirrel y Swiping Squirrel, definidos como grupos scavenger.

Estos operadores buscan dominios caducados que ya habían sido comprometidos por otros delincuentes. Su objetivo es heredar el tráfico generado por las infecciones, en lugar de construir desde cero una red de distribución.

Shady Squirrel, considerado un grupo rusófono y activo al menos desde julio de 2023, desvía este tráfico hacia SocGholish y redes de estafas basadas en falsos servicios de soporte técnico.

Según el análisis, SocGholish habría recuperado el acceso a miles de sitios comprometidos mediante la colaboración con Shady Squirrel, pocos días después de que las fuerzas del orden interrumpieran su infraestructura. El caso demuestra cómo una operación criminal puede reanudarse aprovechando sitios y dominios ya expuestos, sin tener que repetir por completo la fase inicial de compromiso.

Qué deben controlar las organizaciones

La antigüedad de un dominio no demuestra que sea fiable. Las organizaciones deben verificar el control actual y el comportamiento reciente, especialmente cuando un dominio cambia de registrador, servidores de nombres, proveedor de hosting o configuración DNS.

Los controles prioritarios incluyen:

• supervisar los cambios de titularidad y de proveedor;
• revisar periódicamente los CNAME, los registros DNS y las referencias a recursos abandonados;
• analizar las redirecciones, los contenidos y las variaciones repentinas del tráfico;
• comprobar el uso de backlinks antiguos y de páginas que aún estén indexadas;
• controlar los correos dirigidos a dominios o buzones que ya no se gestionan;
• correlacionar los indicadores con Quasar RAT, AsyncRAT, DCRat, Remcos RAT y SocGholish;
• reevaluar de inmediato los dominios reactivados, ya que pueden entrar en funcionamiento el mismo día.

No existe un parche único para este riesgo. La defensa requiere combinar la verificación de la titularidad, la supervisión DNS y el análisis del tráfico. Los sistemas de reputación también deben evitar asignar confianza basándose únicamente en la antigüedad del dominio o en su historial anterior.