Expirované domény hackeři skupují ve velkém a mění je na streamovací weby, sázkové platformy i malware infrastrukturu. Případ Sable Squirrel ukazuje, jak dropcatch domény fungují a proč jsou nebezpečné. Bezpečnostní firma Infoblox zveřejnila třídílnou analýzu takzvaných dropcatch domén, tedy expirovaných domén, které po vypršení registrace skončí v rukou nového majitele. Prostřední díl série se věnuje aktérovi jménem Sable Squirrel, který za deset let vybudoval z vietnamského nelegálního sportovního streamování a sázkové propagace síť čítající přes 10 000 domén, do které si přidal i vlastní malware infrastrukturu.
Co jsou expirované domény a proč jsou tyhle domény pro hackery zajímavé
Když majiteli expiruje d a nikdo ji neobnoví, doména po ochranné lhůtě spadne zpět na trh a kdokoliv si ji může zaregistrovat znovu. Podle dat Infoblox se v první polovině roku 2026 takto denně přeregistrovalo v průměru 65 000 domén napříč generickými (.com, .net) i národními doménami. To znamená, že zhruba každá pátá nově zaregistrovaná doména je ve skutečnosti recyklovaná.
Proč o to má někdo zájem? Stará doména si s sebou nese historii, zpětné odkazy, zbytkovou návštěvnost a hlavně reputaci. Bezpečnostní nástroje a vyhledávače často hodnotí starší domény jako důvěryhodnější než čerstvě zaregistrované, a přesně toho útočníci využívají. Nejaktivnější v přeregistrování jsou přípony .net a .xyz, teprve za nimi následuje .com.
Na trhu s dropcatch doménami fungují specializované služby jako DropCatch.com, které sledují domény blížící se vymazání z registru a v okamžiku uvolnění je automaticky zaregistrují pro zákazníky, kteří si je předem zamluvili. Pokud o doménu projeví zájem víc zájemců, rozhoduje aukce.
Sable Squirrel: streamování jako návnada, sázky jako byznys
Infoblox pojmenovává aktéry, kteří hromadí domény ve velkém, po veverkách, a Sable Squirrel patří mezi nejplodnější. Firma mu přisuzuje kontrolu nad více než 10 000 doménami, z nichž většina pohání rozsáhlou asijskou síť pirátského sportovního vysílání pod značkami jako Xoilac, Cakhia, 90phut, Socolive nebo MiTom.
Weby vypadají jako běžné streamovací služby: živé přenosy fotbalových zápasů, rozpisy zápasů, chatovací místnosti pro fanoušky, mobilní propagace. Samotné streamování ale podle Infoblox není hlavní byznys, jen náborový kanál. Skutečné peníze plynou ze sázkových platforem jako VSBet, ColaScore a 8xbet, které stejný aktér zřejmě také přímo řídí.
Za těmito streamovacími weby stojí sdílená infrastruktura: stejné servery pro doručování obsahu, sportovní data, skóre a živý chat běží pod desítkami různých značek. Analytici z toho usuzují, že jde o jednoho provozovatele s mnoha fasádami, ne o volnou síť afiliátů.
Cesta k 7 milionům dolarů
Sable Squirrel podle Infoblox naplňuje svůj archiv domén dvěma způsoby. První je levný a nenápadný: registrace laciných doménových napodobenin postavených na klíčových slovech spojených se streamovacími značkami. Ty se dají kdykoliv zahodit a nahradit.
Druhý způsob je nákladnější a hůř odhalitelný, právě dropcatch domény s reálnou historií. Infoblox se podařilo dohledat a ocenit individuálně asi 160 takových nákupů v celkové hodnotě přes 430 000 dolarů, převážně přes registrátory GoDaddy a DropCatch. Po extrapolaci na celý známý archiv firma odhaduje celkové výdaje aktéra na dropcatch domény na více než 7 milionů dolarů, což je podle Infoblox nejvyšší doménový rozpočet, jaký kdy u jednoho aktéra zaznamenali.
Za tyto peníze Sable Squirrel získal domény, které dřív patřily skutečným organizacím. Mezi nimi je například healthymagination.com, bývalá zdravotnická iniciativa General Electric, maxfactor-international.com spojená s kosmetickou značkou Procter & Gamble, krogeralbertsons.com vytvořená pro plánovanou (a nakonec zrušenou) fúzi řetězců Kroger a Albertsons, nebo veinteractive.com, dřívější sídlo britské reklamní technologické firmy, na kterou dodnes denně odkazují tisíce jiných webů a jejíž zbytkovou návštěvnost teď aktér dědí. Dále třeba snsystems.com, bývalá vývojářská firma nástrojů pro PlayStation, nebo rezilion.com, bývalá kyberbezpečnostní společnost.
Jakmile Sable Squirrel doménu koupí, nenechává ji ležet ladem. Medián doby mezi nákupem a nasazením je zhruba pět dní, čtvrtina domén jde do provozu už ve stejný den nákupu, tři čtvrtiny do týdne a 94 % do dvou týdnů. Podle historie nákupů začal aktér s dropcatch doménami už v červnu 2023, tempo se výrazně zrychlilo v roce 2024 a samostatný nárazový nákup proběhl v květnu 2026, zjevně v přípravě na mistrovství světa ve fotbale.
Malware na stejné adrese jako fotbalový přenos
Nejzajímavější zjištění Infoblox přišlo, když si všimli, že část stejných domén slouží zároveň jako řídicí servery (C2) pro malware. Návštěvník vidí živý fotbalový přenos, zatímco infikované zařízení používá tu samou doménu ke komunikaci s útočníkem.
Infoblox napočítal přes 31 000 vzorků malwaru, které se připojovaly na infrastrukturu Sable Squirrel. Jde hlavně o běžné nástroje pro krádež dat a vzdálený přístup: Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos a njRAT, k tomu i vzorky nesoucí podpis ransomwaru HiddenTear (bez potvrzeného reálného šifrování, ve sandboxu se soubory nešifrovaly).
Přechod na malware infrastrukturu neproběhl postupně, ale jednou koordinovanou vlnou. První konfigurace C2 se objevily v listopadu 2025, naprostá většina, 86 %, pak v prosinci téhož roku. Šlo přitom často o domény, které už měsíce nebo roky běžely jako streamovací weby, tedy o změnu využití existující infrastruktury, ne o novou registraci.
Přiřazení k aktérovi je nezvykle přímočaré. Analýza metadat spustitelných souborů ukázala, že řada vzorků má přímo v sobě zašité vlastní značky útočníka, třeba název firmy „socoLIVE“, popis souboru „xoilac client“ nebo autorská práva na „8xbet“. Malware se navíc instaluje pod klíčem s názvem xoilac. Jedna konkrétní doména, colatv88xb.cc, zároveň funguje jako sázkový trackovací odkaz aktéra, a podle Infoblox za ní stojí zhruba 70 % veškeré zaznamenané komunikace zákaznických sítí s C2 infrastrukturou Sable Squirrel. Mezi obory, odkud komunikace směrem k C2 doménám nejčastěji přicházela, vedlo školství, následované IT a poradenstvím, státní správou, zdravotnictvím a bankovnictvím.
Zásahy úřadů, které operaci jen zpomalily
Značka Xoi Lac TV existuje od roku 2016 a vietnamské úřady ji dlouhodobě považují za organizovaný zločin propojený se sázením a lichvou kolem fotbalových sázek. Shody ve značkách, šablonách webů a jedné konkrétní doméně, která se objevila na fotografii ze zásahu úřadů, vedou Infoblox k závěru, že jde s vysokou pravděpodobností o tutéž síť, kterou sledují jako Sable Squirrel.
V únoru 2026 úřady bez varování zmrazily hlavní weby sítě, v březnu pak obvinily 30 lidí a zabavily majetek v hodnotě zhruba 300 miliard vietnamských dongů (asi 12 milionů dolarů). Dopad na samotnou infrastrukturu byl podle telemetrie Infoblox jen krátkodobý: nové registrace domén se na měsíc téměř zastavily, ale počet dotazů na existující domény se prakticky nezměnil. Do dubna se registrace vrátily na předkrizové tempo a do června aktér stavěl desítky nových domén pro mistrovství světa.
Slabá místa
I přes velikost a rozpočet má síť Sable Squirrel praktické slabiny. Streamovací weby běží na běžném WordPressu, což z nich dělá snadný cíl pro jiné útočníky. Jeden z jejich webů, xemlaibongda.net, kompromitoval takzvaný Balada Injector, což je rozsáhlá kampaň zaměřená na zranitelné instalace WordPressu, a přesměroval jeho vlastní návštěvníky do své vlastní distribuční sítě.
V jiném případě někdo převzal kontrolu nad doménovým účtem samotného Sable Squirrel a na jedné z jejich domén, xoilacxys.top, provozoval finanční podvod cílený na rusky mluvící publikum. Doména dnes kvůli tomu už vůbec nefunguje.
Přesah mimo Vietnam
Podle Infoblox síť pravděpodobně nekončí u vietnamsky mluvícího publika. Stejný kód pro živý chat, jaký běží na streamovacích webech Sable Squirrel, se objevuje i na čínských sázkových platformách a obsahuje čínsky psané vývojářské komentáře. Stejné obrázkové servery zase zásobují širší okruh sázkových webů mířících na indonéské a rusky mluvící publikum. Podle analytiků to naznačuje, že Sable Squirrel je jen viditelnou částí většího, nadnárodního řetězce postaveného na sdílených technologiích.
Proč jsou expirované domény bezpečnostní riziko
Případ Sable Squirrel ukazuje, že stáří a reputace domény samy o sobě nejsou spolehlivým signálem důvěryhodnosti. Bezpečnostní nástroje, které vyhodnocují domény podle historie registrace nebo objemu zpětných odkazů, mohou takto zděděnou důvěru snadno vyhodnotit špatně. Doporučuje se proto sledovat i změny vlastnictví a chování domény v čase, nejen její stáří.
