Cada día, decenas de miles de nombres de dominio caducan y vuelven al mercado. Mientras la mayoría caen en el olvido, ha surgido una sofisticada economía subterránea en torno al “dropcatching”: la práctica de adquirir estos dominios previamente poseídos. La investigación en tres partes de Infoblox Threat Intel revela cómo los actores de amenazas gastan millones para heredar reputación, tráfico residual y señales de confianza, impulsando desde streaming deportivo ilegal y apuestas hasta comando y control de malware.
En la primera mitad de 2026, Infoblox Threat Intelligence observó un promedio de más de 50.000 dominios dropcatch re-registrados diariamente en dominios genéricos de nivel superior (gTLD), cifra que asciende a aproximadamente 65.000 al incluir los de código de país. Casi uno de cada cinco dominios recién registrados había tenido una vida anterior. Estos dominios de segunda vida no llegan vacíos: a menudo transportan reputación histórica, backlinks, tráfico residual y la confianza residual que productos de seguridad y algoritmos aún asocian con la longevidad. Los actores de amenazas lo han notado… y pagan generosamente por el privilegio.
Los nombres de dominio caducan por razones ordinarias: negocios fallidos, avisos de renovación olvidados, fusiones que dejan la propiedad poco clara, campañas temporales que superan su propósito o registros masivos abandonados por los mismos criminales que luego los recolectan. Una vez transcurridos los períodos de gracia y redención, los nombres vuelven a estar disponibles. Las subastas y servicios especializados como DropCatch.com facilitan la adquisición rápida. El resultado es un flujo constante de activos envejecidos que reingresan al espacio de nombres bajo nueva propiedad.
La investigación de Infoblox demuestra que este mercado no es marginal ni trivial. Aproximadamente el 92 por ciento de la actividad dropcatch observada en gTLD se concentra en solo 15 TLD, siguiendo una distribución clásica de cola larga. Medir el fenómeno a escala es en sí mismo un desafío. Los datos de fecha de creación no están disponibles de manera uniforme —especialmente en muchos ccTLD— y distinguir un verdadero drop-and-re-registration de una simple transferencia requiere observación histórica prolongada. Infoblox mantiene historiales de dominios de varios años precisamente para hacer esa distinción.
La lógica comercial es clara. Un dominio completamente nuevo comienza con reputación cero. Un dominio envejecido puede seguir apareciendo en índices de búsqueda, conservar enlaces entrantes y beneficiarse del sesgo heurístico que muchas defensas aplican a registros más antiguos. Esa legitimidad heredada es valiosa. En la segunda entrega de la serie, Infoblox atribuye el mayor presupuesto de inversión en dropcatch documentado —estimado en más de 7 millones de dólares— a un único clúster de actores al que los investigadores denominan Sable Squirrel.
Sable Squirrel controla más de 10.000 dominios. La mayoría apoya una gran operación de piratería deportiva asiática bajo marcas como Xoilac, Cakhia, 90phut, Socolive y MiTom. Estos sitios presentan experiencias pulidas de streaming de fútbol en vivo con horarios, salas de chat y promoción móvil. El streaming, sin embargo, funciona principalmente como embudo de adquisición. Detrás se encuentran plataformas de apuestas (VSBet, ColaScore, 8xbet y marcas relacionadas) que el actor parece controlar o alinear estrechamente. Vietnam forma un claro centro de gravedad, pero los servicios de backend compartidos, feeds de datos deportivos, infraestructura de imágenes y componentes de chat en vivo también aparecen en torno a marcas de apuestas en chino y campañas dirigidas a audiencias de habla indonesia y rusa, lo que sugiere una cadena de suministro transnacional más amplia.
El mismo inventario se utiliza de forma dual. Un subconjunto de estos dominios también sirve como comando y control de malware. Infoblox identificó más de 31.000 muestras de malware —Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos, njRAT y muestras con firmas de ransomware HiddenTear— que se conectaban a la infraestructura de Sable Squirrel. En algunos casos, un visitante humano ve un sitio de streaming en vivo mientras un endpoint infectado utiliza el mismo dominio como canal de control. Las propiedades de archivo dentro de los ejecutables de Windows a veces incrustan los propios nombres de marca del actor, una firma inusualmente descarada. Una ola coordinada de armamentización a finales de 2025 configuró cientos de dominios existentes como C2; aproximadamente el 12 por ciento de las redes de clientes de Infoblox Threat Defense Cloud consultaron posteriormente esos dominios, abarcando alrededor de dos docenas de industrias.
Las acciones de aplicación de la ley vietnamitas a principios de 2026 —incluido un congelamiento de sitios en febrero y cargos y decomisos en marzo— produjeron solo una interrupción temporal. La operación se recuperó en un mes y amplió la cobertura en torno a la Copa del Mundo de 2026. Los dominios, no el contenido, resultaron ser el activo resiliente.
Una tercera clase de actores lleva el modelo de carroñero más lejos al apuntar a dominios previamente maliciosos en lugar de simplemente dominios legítimos envejecidos. Infoblox rastrea tres de estos clústeres “carroñeros” —Stuffy Squirrel, Shady Squirrel y Swiping Squirrel— que adquieren dominios caducados que alguna vez se usaron en cadenas de infección. Los sitios web comprometidos a menudo continúan contactando esos dominios mucho después de que los operadores originales los abandonen. Al comprar los nombres caducados, los carroñeros heredan tráfico residual de víctimas sin necesidad de comprometer nuevos sitios ellos mismos.
Stuffy Squirrel se especializa en insertar cargas maliciosos dentro de scripts de apariencia legítima y ha mantenido actividad continua desde al menos 2020 a través de tres generaciones de infraestructura de distribución de tráfico, controlando más de 500 dominios. Shady Squirrel se asocia con brokers de acceso inicial y ayudó a permitir un rápido resurgimiento de SocGholish tras una importante operación de disrupción. Swiping Squirrel, el más prolífico de los tres, canaliza el tráfico hacia plataformas publicitarias de cero clics que con frecuencia terminan en estafas o malware. Entre ellos, los tres actores poseen miles de dominios incrustados en decenas de miles de sitios comprometidos y a menudo coexisten en las mismas páginas de víctimas, compitiendo por el visitante.
En conjunto, la serie Dropcatch ilustra un mercado secundario maduro de reputación digital y tráfico residual. Las organizaciones legítimas que pierden el control de dominios por simples fallos operativos pueden encontrarse efectivamente secuestradas: Infoblox mismo se encontró con precios de más de 50.000 dólares por un nombre anteriormente interno. En el extremo criminal del espectro, el mismo mercado suministra señales de confianza envejecidas, tráfico gratuito e infraestructura de doble uso a escala industrial.
Los defensores enfrentan un desafío estructural: los sistemas de reputación que aún sobreponderan la antigüedad del dominio pueden ser manipulados, y las conexiones residuales de compromisos antiguos crean superficie de ataque persistente mucho después de que los operadores originales se hayan marchado. La visibilidad continua de DNS, el seguimiento histórico de dominios y la detección rápida de patrones anómalos de re-registro se vuelven esenciales. Los dominios en sí mismos pueden ser desechables; la lógica económica que los hace valiosos no lo es.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de