Infoblox Threat Intel sortiert die Flut minderwertiger Casino-Websites in drei Kategorien — eine davon dient China-nahen APT-Gruppen als getarnte Command-and-Control-Infrastruktur. Wer Glücksspiel-Domains als bloßen Surfverstoß abhakt, verhält sich genau so, wie es die Angreifer erwarten.
Für die meisten Security-Teams ist eine Casino-Domain im DNS-Log höchstens ein Ärgernis — ein Mitarbeiter, der surft, wo er nicht surfen sollte. Eine neue Untersuchung von Infoblox Threat Intel argumentiert, dass genau dieser Reflex einer China-nahen Spionageoperation in die Hände spielt. In einem am 15. September 2026 veröffentlichten Report sortiert der DNS-Sicherheitsspezialist minderwertige Glücksspiel-Websites in drei Kategorien: illegales Glücksspiel und Geldwäsche über mehr als 1,7 Millionen Domains, Verbraucherbetrug über manipulierte Wettplattformen sowie als Casino getarnte Command-and-Control-Infrastruktur (C2) für Malware.
Drei Zwecke, ein Erscheinungsbild
Das praktische Problem besteht laut Unternehmensangaben darin, dass sich die drei Typen im Browser kaum unterscheiden lassen. Der Report beginnt mit Screenshots dreier Seiten und der Frage, welche davon in einer Spionagekampagne eingesetzt wird. Die Antwort lautet vip311[.]cc — eine C2-Domain des PeckBirdy-Frameworks, das China-nahe APT-Gruppen (Advanced Persistent Threat) seit 2023 gegen Unternehmen und Behörden in ganz Asien einsetzen. Unter der Oberfläche verhalten sich die drei Populationen völlig unterschiedlich: echtes Glücksspiel im ersten Fall, manipulierte Spiele im zweiten, reine Kulisse im dritten.
Typ 1: eine industrielle Geldwäscheschicht
Das chinesischsprachige Casino-Ökosystem ist mit über 1,7 Millionen erfassten Domains mit Abstand das größte. Infoblox beschreibt es als tragendes Element der transnationalen organisierten Kriminalität: Es schleust Geld aus China und anderen asiatischen Jurisdiktionen heraus und wäscht Erlöse aus Online-Kriminalität, darunter auch nordkoreanische. Der Markt ist stark konzentriert: Auf die Netzwerke FUNNULL CDN und Vigorish Viper entfallen rund 745.000 beziehungsweise 666.000 Domains, etwa 81 Prozent des Gesamtbestands; die vier größten Akteure decken rund 99,5 Prozent ab.
Die Ergebnisse decken sich mit einer regionalen Lageeinschätzung, die das UN-Büro für Drogen- und Verbrechensbekämpfung im Juli 2026 vorgelegt hat. Die UNODC bezifferte die globalen Umsätze im illegalen Wettgeschäft auf bis zu 1,7 Billionen US-Dollar jährlich und schätzte die Schäden durch transnationale Online-Betrugsoperationen in Ost- und Südostasien, Australien und Neuseeland allein für 2025 auf 88,3 bis 114,1 Milliarden US-Dollar — etwa das Dreifache des Werts von 2023. Domain-Sperren allein hielt die UN-Behörde für weitgehend wirkungslos und verwies auf eine philippinische Anordnung gegen mehr als 7.000 Glücksspielseiten aus dem Jahr 2024, die kaum Wirkung zeigte.
Ein Detail widerspricht der Intuition von Verteidigern: Diese Seiten funktionieren in der Regel. Support-Kanäle antworten, Auszahlungen werden bearbeitet — weil die Betreiber auf das Vertrauen der Spieler angewiesen sind. Die Einzahlungen sind die Pipeline, auf der die Geldwäsche aufsetzt.
Typ 2: „Scambling“ wächst
Die zweite Kategorie umfasst Tausende Domains und zielt vor allem auf englischsprachige und europäische Nutzer. Der Begriff „Scambling“ — Scam-Gambling — wird dem Journalisten Brian Krebs zugeschrieben, der im Juli 2025 mehr als 1.200 hochwertig gestaltete gefälschte Gaming-Seiten dokumentierte: Einzahlungen ließen sich verspielen, Gewinne jedoch nie auszahlen. In einzelnen Wochen des Jahres 2026 registrierte Infoblox nach eigenen Angaben doppelt so viele neue Scambling-Domains wie im Vorjahreszeitraum. Typische Merkmale sind aggressive Einzahlungsboni, gehäufte Beschwerden auf Plattformen wie Trustpilot und Blackhat-SEO-Kampagnen, die die Domain in Kommentarfelder und Nutzerprofile fremder Websites einschleusen.
Typ 3: PeckBirdy und die Detektionslücke
Die kleinste Population ist die heikelste. Einige Dutzend chinesischsprachige Casino- und neuerdings auch Erwachsenen-Websites betten C2-Domains des PeckBirdy-Frameworks ein, das Trend Micro im Januar 2026 dokumentiert hat. Infoblox verfolgte ein JavaScript-Payload von cache-mcp[.]com zu einer weiteren Domain, mcp-source[.]online, die über WebSocket-Verbindungen kontaktiert wird, wie sie die meisten automatisierten Scanner nie erfassen. Ende August 2026 wies diese Domain null Detektionen bei VirusTotal auf; zwei verwandte Domains kamen auf 13 beziehungsweise drei.
Gut drei Prozent der Enterprise-Kunden von Infoblox lösten mindestens eine PeckBirdy-C2-Domain auf; zu den am stärksten betroffenen Branchen zählen Bildung, IT, Banken und öffentliche Verwaltung. Entscheidend ist laut Unternehmensangaben nicht das Anfragevolumen, sondern die Zahl der aufgelösten unterschiedlichen C2-Domains: Eine einzelne Abfrage von githubassets[.]net, einem Typosquat eines legitimen GitHub-Hosts, kann ein Tippfehler im Code sein — wiederholter Kontakt zu drei bis zehn verschiedenen C2-Domains sollte dagegen als mögliche Kompromittierung behandelt werden.
US-Provider als Hebel
Die Infrastrukturanalyse liefert den für Regulierer und Provider handlungsrelevantesten Befund. Alle drei Populationen hängen stark an US-Registraren, und Amazon, Microsoft, Cloudflare sowie Google hosten Teile der beobachteten Infrastruktur — teils, so die Vermutung von Infoblox, über gestohlene Accounts, eine als Infrastructure Laundering bekannte Praxis. Rund 967.000 chinesischsprachige Casino-Domains sind über US-Registrare registriert, werden aber in China oder Hongkong gehostet. Diese Aufteilung nennen die Forscher „Fronting“: Die Registrierung liegt in Reichweite US-amerikanischer Abuse-Prozesse, das Hosting nicht. Die Scambling-Infrastruktur liegt dagegen fast vollständig in den USA und Europa.
Was Verteidiger mitnehmen sollten
Die zentrale Empfehlung ist unbequem in ihrer Schlichtheit: Casino-Domains nicht länger ignorieren. Ein Alert, der als Verstoß gegen die Surf-Richtlinie geschlossen wird, ist laut den Forschern genau das Ergebnis, mit dem die PeckBirdy-Betreiber rechnen — die Tarnung funktioniert, weil das Abhaken meist vernünftig erscheint. Security-Teams brauchen deshalb einen Triage-Pfad, der vor dem Schließen des Tickets klärt, ob eine Glücksspiel-Domain ein C2-Payload trägt; die relevanten Indikatoren hat Infoblox auf GitHub veröffentlicht. Die Befunde beruhen auf der Telemetrie des Anbieters und sind nicht unabhängig verifiziert, decken sich aber mit UN-Einschätzungen zu einem Markt, der zu groß ist, um als Hintergrundrauschen behandelt zu werden.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de