Fast jede fünfte neu registrierte Domain hatte bereits ein früheres Leben. Diese Domains der zweiten Generation kommen nicht leer an: Sie tragen oft historische Reputation, Backlinks, Restverkehr und das Restvertrauen mit sich, das Sicherheitsprodukte und Algorithmen weiterhin mit Langlebigkeit verbinden. Bedrohungsakteure haben das bemerkt und sammeln Nüsse.
Jeden Tag laufen Zehntausende Domainnamen ab und gelangen erneut auf den Markt. Während die meisten in der Vergessenheit verschwinden, hat sich eine raffinierte Untergrundökonomie um das „Dropcatching“ – den Erwerb zuvor besessener Domains – entwickelt. Die dreiteilige Untersuchung von Infoblox Threat Intel zeigt, wie Bedrohungsakteure Millionen ausgeben, um Reputation, Restverkehr und Vertrauenssignale zu erben und damit illegales Sportstreaming, Glücksspiel und Malware-Command-and-Control zu betreiben.
Domainnamen laufen aus alltäglichen Gründen ab: gescheiterte Unternehmen, vergessene Verlängerungsbenachrichtigungen, Fusionen mit unklarer Eigentümerschaft, temporäre Kampagnen oder Massenregistrierungen, die dieselben Kriminellen später wieder einsammeln. Nach Ablauf der Schon- und Rückforderungsfristen werden die Namen wieder verfügbar. Auktionen und Spezialdienste wie DropCatch.com ermöglichen den schnellen Erwerb. Das Ergebnis ist ein stetiger Strom gealterter Assets, die unter neuer Eigentümerschaft in den Namensraum zurückkehren.
Die Forschung von Infoblox zeigt, dass dieser Markt weder randständig noch trivial ist. Etwa 92 Prozent der beobachteten gTLD-Dropcatch-Aktivität konzentrieren sich auf nur 15 Top Level Domains (TLDs) und folgen einer klassischen Long-Tail-Verteilung. Die Messung im großen Maßstab ist selbst anspruchsvoll. Creation-Date-Daten sind uneinheitlich verfügbar – besonders bei vielen ccTLDs – und die Unterscheidung zwischen echtem Drop-and-Re-Registration und einfachem Transfer erfordert lange historische Beobachtung. Infoblox pflegt mehrjährige Domain-Historien genau zu diesem Zweck.
Die kommerzielle Logik ist klar. Eine brandneue Domain startet mit null Reputation. Eine gealterte Domain kann noch in Suchindizes erscheinen, eingehende Links behalten und von der heuristischen Voreingenommenheit vieler Abwehrsysteme gegenüber älteren Registrierungen profitieren. Diese geerbte Legitimität ist wertvoll. Im zweiten Teil der Serie schreibt Infoblox das größte dokumentierte Dropcatch-Investitionsbudget – geschätzt über 7 Millionen US-Dollar – einem einzigen Akteurscluster zu, den die Forscher Sable Squirrel nennen.
Sable Squirrel kontrolliert mehr als 10.000 Domains. Die Mehrheit unterstützt eine große asiatische Sportpiraterie-Operation unter Marken wie Xoilac, Cakhia, 90phut, Socolive und MiTom. Diese Seiten präsentieren polierte Live-Fußball-Streaming-Erlebnisse mit Spielplänen, Chatrooms und mobiler Promotion. Streaming fungiert jedoch primär als Akquisitionstrichter. Dahinter sitzen Glücksspielplattformen (VSBet, ColaScore, 8xbet und verwandte Marken), die der Akteur zu kontrollieren oder eng zu affilieren scheint. Vietnam bildet einen klaren Schwerpunkt, doch gemeinsame Backend-Dienste, Sportdaten-Feeds, Bildinfrastruktur und Live-Chat-Komponenten tauchen auch bei chinesischsprachigen Wettmarken und Kampagnen für indonesische und russischsprachige Zielgruppen auf und deuten auf eine breitere transnationale Lieferkette hin.
Derselbe Bestand wird dual genutzt. Eine Teilmenge dieser Domains dient auch als Malware-Command-and-Control. Infoblox identifizierte mehr als 31.000 Malware-Samples – Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos, njRAT und Samples mit HiddenTear-Ransomware-Signaturen –, die mit Sable-Squirrel-Infrastruktur verbunden waren. In manchen Fällen sieht ein menschlicher Besucher eine Live-Streaming-Seite, während ein infizierter Endpunkt dieselbe Domain als Kontrollkanal nutzt. Dateieigenschaften in den Windows-Executables betten manchmal die eigenen Markennamen des Akteurs ein – eine ungewöhnlich freche Signatur. Eine koordinierte Weaponization-Welle Ende 2025 konfigurierte Hunderte bestehender Domains als C2; etwa 12 Prozent der Infoblox Threat Defense Cloud-Kundengeräte-Netzwerke fragten anschließend diese Domains ab und umfassten etwa zwei Dutzend Branchen.
Vietnamesische Durchsetzungsmaßnahmen Anfang 2026 – einschließlich einer Seiten-Freeze im Februar sowie Anklagen und Beschlagnahmen im März – erzeugten nur vorübergehende Störungen. Die Operation erholte sich innerhalb eines Monats und erweiterte die Abdeckung rund um die Fußball-Weltmeisterschaft 2026. Domains, nicht Inhalte, erwiesen sich als resilienter Vermögenswert.
Eine dritte Klasse von Akteuren treibt das Scavenging-Modell weiter, indem sie zuvor bösartige Domains anstatt lediglich gealterter legitimer Domains ins Visier nimmt. Infoblox verfolgt drei solcher „Scavenger“-Cluster – Stuffy Squirrel, Shady Squirrel und Swiping Squirrel –, die abgelaufene Domains erwerben, die einst in Infektionsketten verwendet wurden. Kompromittierte Websites greifen oft noch lange nach dem Abgang der ursprünglichen Betreiber auf diese Domains zu. Durch den Kauf der abgelaufenen Namen erben die Scavenger Restopfer-Verkehr, ohne selbst neue Sites kompromittieren zu müssen.
Stuffy Squirrel ist spezialisiert darauf, bösartige Payloads in legitim aussehende Skripte zu stopfen und ist seit mindestens 2020 über drei Generationen von Traffic-Distribution-Infrastruktur hinweg kontinuierlich aktiv und kontrolliert mehr als 500 Domains. Shady Squirrel kooperiert mit Initial-Access-Brokern und half, ein schnelles SocGholish-Comeback nach einer großen Störungsoperation zu ermöglichen. Swiping Squirrel, der produktivste der drei, leitet Verkehr zu Zero-Click-Werbeplattformen, die häufig in Scams oder Malware enden. Zwischen ihnen besitzen die drei Akteure Tausende Domains, die in Zehntausende kompromittierter Sites eingebettet sind, und koexistieren oft auf denselben Opferseiten und rennen um den Besucher.
Insgesamt illustriert die Dropcatch-Serie einen reifen Sekundärmarkt für digitale Reputation und Restverkehr. Legitime Organisationen, die durch einfache operative Fehler die Kontrolle über Domains verlieren, können sich faktisch erpresst sehen – Infoblox selbst stieß auf Forderungen von über 50.000 US-Dollar für einen ehemals internen Namen. Am kriminellen Ende des Spektrums liefert derselbe Markt gealterte Vertrauenssignale, kostenlosen Traffic und Dual-Use-Infrastruktur im industriellen Maßstab.
Verteidiger stehen vor einer strukturellen Herausforderung: Reputationssysteme, die Domain-Alter noch übergewichten, können ausgenutzt werden, und Restverbindungen aus alten Kompromittierungen schaffen langanhaltende Angriffsflächen, lange nachdem die ursprünglichen Betreiber weitergezogen sind. Kontinuierliche DNS-Sichtbarkeit, historische Domain-Verfolgung und schnelle Erkennung anomaler Neu-Registrierungsmuster werden essenziell. Die Domains selbst mögen wegwerfbar sein; die wirtschaftliche Logik, die sie wertvoll macht, ist es nicht.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de