Domini scaduti riutilizzati per malware e truffe: l’attacco sfrutta la fiducia ereditata

Un dominio “vecchio” può diventare un’infrastruttura criminale

Un dominio scaduto non riparte necessariamente da zero. Quando viene registrato da un nuovo soggetto, può conservare traffico residuo, backlink, risultati nei motori di ricerca, configurazioni DNS e una reputazione costruita dal precedente proprietario.

È questo il meccanismo analizzato da Infoblox Threat Intel in un’analisi rilevata il 15 agosto 2026. I criminali acquistano domini abbandonati, chiamati anche dropcatch domains, per distribuire malware, promuovere frodi oppure realizzare server di comando e controllo.

Il fenomeno ha dimensioni rilevanti. Ogni giorno vengono registrati nuovamente circa 65.000 domini appartenuti in precedenza ad altri soggetti. Nel primo semestre del 2026, queste registrazioni hanno rappresentato quasi il 20% del totale: circa un dominio “nuovo” su cinque aveva quindi una storia precedente.

L’età del nome può influenzare i sistemi reputazionali, i motori di ricerca e gli strumenti di analisi. Un dominio registrato originariamente dieci anni prima può apparire meno sospetto di un dominio appena creato, anche se nel frattempo è stato acquistato da un attore malevolo.

I TLD più coinvolti e il problema della titolarità

Limitando l’osservazione ai domini generici di primo livello, la media raggiunge circa 50.400 domini dropcatch ogni giorno. Quindici TLD concentrano circa il 92% dell’attività.

I valori più elevati riguardano:

• .net, con quasi il 30% delle nuove registrazioni già utilizzato in passato;
• .xyz, anch’esso vicino al 30%;
• .com, dove il 24,5% delle registrazioni aveva una storia precedente.

Ricostruire chi controlli davvero questi domini non è semplice. I dati WHOIS possono essere protetti da servizi privacy, mentre trasferimenti, aste e periodi di parcheggio rendono difficile seguire la catena di proprietà.

Il passaggio di consegne può inoltre lasciare in eredità elementi utili all’attaccante. Tra questi rientrano email ancora indirizzate al vecchio dominio, vecchi link pubblicati su siti terzi, pagine indicizzate e record DNS rimasti attivi.

Un rischio specifico riguarda i dangling CNAME. In questo scenario, un record continua a puntare verso una risorsa esterna che non è più controllata dal titolare originario. Chi riesce a registrare o reclamare quella risorsa può ottenere il controllo indiretto del servizio associato.

Sable Squirrel ha acquistato oltre 10.000 domini

L’esempio più strutturato riguarda l’attore denominato Sable Squirrel, che avrebbe investito quasi 7 milioni di dollari nell’acquisto di oltre 10.000 domini scaduti.

I domini sostengono un ecosistema con più funzioni: streaming sportivo illegale, promozione del gioco d’azzardo e distribuzione o controllo di malware. Sable Squirrel gestisce piattaforme associate ai marchi Xoilac, Cakhia e 90phut, rivolte a utenti vietnamiti, coreani, giapponesi e australiani.

I visitatori di questi siti vengono indirizzati verso piattaforme di scommesse. Gli stessi domini possono però svolgere anche un ruolo più tecnico e pericoloso, funzionando da server C2 per diversi trojan ad accesso remoto:

• Quasar RAT;
• AsyncRAT;
• DCRat;
• Remcos RAT.

In questo modo un dominio apparentemente legato all’intrattenimento può diventare parte dell’infrastruttura utilizzata per impartire comandi ai sistemi infetti.

Tra i domini attribuiti all’operazione figurano healthymagination.com, precedentemente associato a un’iniziativa sanitaria di General Electric, e rezilion.com, appartenuto a una società di cybersecurity i cui asset furono venduti a GitLab nel 2024.

Il valore non è quindi soltanto tecnico. L’attaccante può appropriarsi anche di una parte della fiducia associata al precedente titolare: un’organizzazione sanitaria, un’azienda tecnologica o una realtà della sicurezza informatica.

L’attivazione avviene spesso entro pochi giorni

La rapidità è un elemento centrale del modello. Dopo la nuova registrazione, Sable Squirrel tende a rendere operativo il dominio prima che i sistemi di reputazione possano aggiornare la valutazione.

Secondo l’analisi:

• il 24% dei domini viene attivato nello stesso giorno;
• il 76% entra in funzione entro sette giorni;
• il 94% è operativo entro due settimane.

Questa finestra consente di sfruttare rapidamente traffico, backlink e risultati di ricerca già esistenti. Un dominio che improvvisamente ospita redirect, pagine di scommesse o codice malevolo può continuare per un certo periodo a beneficiare della reputazione accumulata in precedenza.

Il problema riguarda anche la posta elettronica. Messaggi destinati al vecchio proprietario possono continuare a raggiungere sistemi o caselle associate al dominio. Se l’organizzazione non ha revocato correttamente configurazioni, autorizzazioni e riferimenti DNS, il nuovo titolare può intercettare parte del traffico o sfruttarlo per campagne di impersonificazione.

Gli “scavenger” riutilizzano siti già compromessi

Non tutti gli attori seguono il modello dell’acquisto su larga scala. Infoblox monitora anche Stuffy Squirrel, Shady Squirrel e Swiping Squirrel, definiti gruppi scavenger.

Questi operatori cercano domini scaduti che erano già stati compromessi da altri criminali. Il loro obiettivo è ereditare il traffico generato dalle infezioni, invece di costruire da zero una rete di distribuzione.

Shady Squirrel, ritenuto russofono e attivo almeno da luglio 2023, convoglia questo traffico verso SocGholish e verso reti di truffe basate sul falso supporto tecnico.

Secondo l’analisi, SocGholish avrebbe recuperato l’accesso a migliaia di siti compromessi collaborando con Shady Squirrel, pochi giorni dopo l’interruzione della propria infrastruttura da parte delle forze dell’ordine. Il caso mostra come un’operazione criminale possa ripartire sfruttando siti e domini già esposti, senza dover replicare interamente la fase iniziale di compromissione.

Che cosa devono controllare le organizzazioni

L’anzianità di un dominio non è una prova di affidabilità. Le organizzazioni dovrebbero verificare il controllo attuale e il comportamento recente, soprattutto quando un dominio cambia registrar, nameserver, hosting o configurazione DNS.

I controlli prioritari includono:

• monitoraggio dei cambi di proprietà e dei provider;
• revisione periodica di CNAME, record DNS e riferimenti verso risorse abbandonate;
• analisi di redirect, contenuti e variazioni improvvise del traffico;
• verifica dell’uso di vecchi backlink e pagine ancora indicizzate;
• controllo delle email indirizzate a domini o caselle non più gestiti;
• correlazione degli indicatori con Quasar RAT, AsyncRAT, DCRat, Remcos RAT e SocGholish;
• rivalutazione immediata dei domini riattivati, perché possono diventare operativi nello stesso giorno.

Non esiste una patch unica per questo rischio. La difesa richiede una combinazione di verifica della titolarità, monitoraggio DNS e analisi del traffico. Anche i sistemi reputazionali devono evitare di assegnare fiducia sulla base della sola età del dominio o del suo storico precedente.