A compra de domínios expirados tornou-se um mercado para atividades criminosas. A Infoblox Threat Intel registrou cerca de 65 mil domínios reativados diariamente no primeiro semestre de 2026. Esses nomes são usados por grupos para disseminar malware e golpes.
A pesquisa indica que a reputação de um nome de domínio, baseada em seu histórico, virou uma mercadoria. Um ator, denominado Sable Squirrel, controla mais de 10 mil domínios. Estima-se que este grupo gastou mais de 7 milhões de dólares adquirindo nomes expirados para aproveitar o tráfego e a autoridade já estabelecida.
Parte desses domínios serve como estrutura de comando e controle para softwares maliciosos. Mais de 31 mil amostras rastreadas apontaram para a infraestrutura do Sable Squirrel, incluindo assinaturas de ransomware e diversos RATs.
O negócio principal do grupo é o de jogos de azar, mas ele também utiliza os domínios para operar serviços de transmissão de futebol. Autoridades vietnamitas agiram em fevereiro de 2026, congelando alguns sites e acusando trinta pessoas. No entanto, a operação parece continuar expandindo sua presença online.
