Des domaines expirés réutilisés pour diffuser des malwares et des escroqueries : l’attaque exploite la confiance héritée

Un « ancien » domaine peut devenir une infrastructure criminelle

Un domaine expiré ne repart pas nécessairement de zéro. Lorsqu’il est enregistré par un nouveau propriétaire, il peut conserver du trafic résiduel, des backlinks, une présence dans les moteurs de recherche, des configurations DNS et une réputation acquise auprès de son précédent titulaire.

C’est le mécanisme analysé par Infoblox Threat Intel dans une étude publiée le 15 août 2026. Les cybercriminels achètent des domaines abandonnés, également appelés dropcatch domains, pour diffuser des malwares, promouvoir des escroqueries ou mettre en place des serveurs de commande et de contrôle.

Le phénomène est d’une ampleur significative. Chaque jour, environ 65 000 domaines ayant déjà appartenu à d’autres titulaires sont de nouveau enregistrés. Au premier semestre 2026, ces enregistrements représentaient près de 20 % du total : environ un domaine « nouveau » sur cinq possédait donc un historique antérieur.

L’ancienneté du nom peut influencer les systèmes de réputation, les moteurs de recherche et les outils d’analyse. Un domaine enregistré pour la première fois dix ans plus tôt peut sembler moins suspect qu’un domaine récemment créé, même s’il a depuis été racheté par un acteur malveillant.

Les TLD les plus concernés et le problème de la propriété

En limitant l’observation aux domaines génériques de premier niveau, la moyenne atteint environ 50 400 domaines dropcatch par jour. Quinze TLD concentrent près de 92 % de l’activité.

Les valeurs les plus élevées concernent :

• .net, avec près de 30 % des nouveaux enregistrements ayant déjà été utilisés ;
• .xyz, également proche de 30 % ;
• .com, où 24,5 % des enregistrements avaient un historique antérieur.

Il n’est pas simple de déterminer qui contrôle réellement ces domaines. Les données WHOIS peuvent être protégées par des services de confidentialité, tandis que les transferts, les enchères et les périodes de stationnement compliquent le suivi de la chaîne de propriété.

Le changement de propriétaire peut également transmettre à l’attaquant des éléments utiles. Il peut s’agir d’e-mails toujours adressés à l’ancien domaine, d’anciens liens publiés sur des sites tiers, de pages indexées ou encore d’enregistrements DNS restés actifs.

Un risque particulier concerne les dangling CNAME. Dans ce scénario, un enregistrement continue de pointer vers une ressource externe qui n’est plus contrôlée par le titulaire d’origine. Celui qui parvient à enregistrer ou à récupérer cette ressource peut prendre le contrôle indirect du service associé.

Sable Squirrel a acheté plus de 10 000 domaines

L’exemple le plus structuré concerne l’acteur baptisé Sable Squirrel, qui aurait investi près de 7 millions de dollars dans l’achat de plus de 10 000 domaines expirés.

Ces domaines soutiennent un écosystème aux fonctions multiples : streaming sportif illégal, promotion de jeux d’argent, ainsi que diffusion ou contrôle de malwares. Sable Squirrel gère des plateformes associées aux marques Xoilac, Cakhia et 90phut, destinées aux utilisateurs vietnamiens, coréens, japonais et australiens.

Les visiteurs de ces sites sont redirigés vers des plateformes de paris. Ces mêmes domaines peuvent toutefois jouer un rôle plus technique et plus dangereux en servant de serveurs C2 pour plusieurs chevaux de Troie d’accès à distance :

• Quasar RAT ;
• AsyncRAT ;
• DCRat ;
• Remcos RAT.

Ainsi, un domaine apparemment lié au divertissement peut devenir une composante de l’infrastructure utilisée pour envoyer des commandes aux systèmes infectés.

Parmi les domaines attribués à cette opération figurent healthymagination.com, auparavant associé à une initiative de santé de General Electric, et rezilion.com, qui appartenait à une entreprise de cybersécurité dont les actifs ont été vendus à GitLab en 2024.

La valeur n’est donc pas uniquement technique. L’attaquant peut également s’approprier une partie de la confiance associée à l’ancien titulaire : une organisation de santé, une entreprise technologique ou un acteur de la cybersécurité.

L’activation intervient souvent en quelques jours

La rapidité constitue un élément central du modèle. Après le nouvel enregistrement, Sable Squirrel tend à rendre le domaine opérationnel avant que les systèmes de réputation puissent mettre à jour leur évaluation.

Selon l’analyse :

• 24 % des domaines sont activés le jour même ;
• 76 % sont mis en service dans les sept jours ;
• 94 % sont opérationnels sous deux semaines.

Cette fenêtre permet d’exploiter rapidement le trafic, les backlinks et les résultats de recherche déjà existants. Un domaine qui héberge soudainement des redirections, des pages de paris ou du code malveillant peut continuer pendant un certain temps à bénéficier de la réputation accumulée auparavant.

Le problème concerne également la messagerie électronique. Les messages destinés à l’ancien propriétaire peuvent continuer à parvenir aux systèmes ou aux boîtes aux lettres associés au domaine. Si l’organisation n’a pas correctement révoqué les configurations, les autorisations et les références DNS, le nouveau titulaire peut intercepter une partie du trafic ou l’exploiter dans des campagnes d’usurpation d’identité.

Les « scavengers » réutilisent des sites déjà compromis

Tous les acteurs ne suivent pas le modèle de l’achat à grande échelle. Infoblox surveille également Stuffy Squirrel, Shady Squirrel et Swiping Squirrel, qualifiés de groupes scavenger.

Ces opérateurs recherchent des domaines expirés qui avaient déjà été compromis par d’autres cybercriminels. Leur objectif est de récupérer le trafic généré par les infections plutôt que de construire un réseau de diffusion à partir de zéro.

Shady Squirrel, considéré comme russophone et actif au moins depuis juillet 2023, redirige ce trafic vers SocGholish et vers des réseaux d’escroquerie reposant sur de faux services d’assistance technique.

Selon l’analyse, SocGholish aurait récupéré l’accès à des milliers de sites compromis en collaborant avec Shady Squirrel, quelques jours après l’interruption de sa propre infrastructure par les forces de l’ordre. Ce cas montre comment une opération criminelle peut reprendre en exploitant des sites et des domaines déjà exposés, sans devoir reproduire entièrement la phase initiale de compromission.

Ce que les organisations doivent contrôler

L’ancienneté d’un domaine ne constitue pas une preuve de fiabilité. Les organisations doivent vérifier son contrôle actuel et son comportement récent, notamment lorsqu’il change de registrar, de serveurs de noms, d’hébergeur ou de configuration DNS.

Les contrôles prioritaires comprennent :

• la surveillance des changements de propriétaire et de fournisseur ;
• la révision régulière des CNAME, des enregistrements DNS et des références vers des ressources abandonnées ;
• l’analyse des redirections, des contenus et des variations soudaines du trafic ;
• la vérification de l’utilisation d’anciens backlinks et de pages toujours indexées ;
• le contrôle des e-mails adressés à des domaines ou à des boîtes aux lettres qui ne sont plus gérés ;
• la mise en corrélation des indicateurs avec Quasar RAT, AsyncRAT, DCRat, Remcos RAT et SocGholish ;
• la réévaluation immédiate des domaines réactivés, car ils peuvent devenir opérationnels le jour même.

Il n’existe pas de correctif unique contre ce risque. La défense nécessite de combiner la vérification de la propriété, la surveillance DNS et l’analyse du trafic. Les systèmes de réputation doivent également éviter d’accorder leur confiance sur la seule base de l’ancienneté du domaine ou de son historique précédent.