Wprowadzenie do problemu / definicja
Wygasłe domeny internetowe coraz częściej stają się narzędziem wykorzystywanym przez cyberprzestępców. Po ponownej rejestracji taki adres może zachować część wcześniejszej reputacji, historię techniczną oraz pozostałości ruchu, co sprawia, że nie jest postrzegany jak typowa nowa domena. W efekcie atakujący mogą używać go do dystrybucji złośliwego oprogramowania, oszustw, phishingu oraz budowy wiarygodnie wyglądającej infrastruktury zaplecza.
Problem jest istotny, ponieważ zaufanie budowane przez lata przez poprzedniego właściciela może zostać wykorzystane przez całkowicie inny podmiot. To zmienia sposób, w jaki organizacje powinny oceniać ryzyko związane z domenami internetowymi.
W skrócie
Najnowsze analizy threat intelligence wskazują, że ponownie rejestrowane wygasłe domeny stały się pełnoprawnym zasobem operacyjnym dla cyberprzestępców. Ich atrakcyjność wynika z odziedziczonej historii, linków zwrotnych, widoczności w wyszukiwarkach, a czasem także z pozostawionych zależności DNS i ruchu użytkowników.
- Każdego dnia ponownie rejestrowanych jest około 65 tys. wygasłych domen.
- W pierwszej połowie 2026 roku odpowiadały one za blisko 20% wszystkich nowych rejestracji.
- Przestępcy wykorzystują je do malware, oszustw, przejmowania ruchu oraz obsługi infrastruktury C2.
- W analizach wskazano m.in. aktywność aktora określanego jako Sable Squirrel.
Kontekst / historia
Wtórny obrót domenami nie jest nowym zjawiskiem. Od lat wygasłe adresy są kupowane ze względu na wartość marketingową, historię SEO czy rozpoznawalność marki. Problem zaczyna się wtedy, gdy te same mechanizmy są wykorzystywane nie do promocji legalnych usług, lecz do działań przestępczych.
Domena należąca wcześniej do firmy, projektu technologicznego lub organizacji publicznej może po wygaśnięciu zostać przejęta i bardzo szybko wykorzystana w nowym, wrogim celu. Szczególnie cenne są adresy długo obecne w sieci, posiadające liczne odwołania zewnętrzne, wpisy w indeksach wyszukiwarek, stare zakładki użytkowników lub ślady w dokumentacji i konfiguracjach systemów.
Taki adres wygląda znacznie bardziej wiarygodnie niż świeżo zarejestrowana domena uruchomiona wyłącznie na potrzeby jednej kampanii phishingowej. To właśnie ta wiarygodność czyni wygasłe domeny atrakcyjnym aktywem dla grup cyberprzestępczych.
Analiza techniczna
Najważniejszym elementem tego zjawiska jest dziedziczenie reputacji. Po ponownej rejestracji domena może być nadal postrzegana przez niektóre mechanizmy bezpieczeństwa jako adres o długiej historii i niższym ryzyku. Równocześnie wciąż mogą prowadzić do niej stare backlinki, wpisy w kodzie, archiwalne odwołania, zakładki użytkowników czy utrzymane relacje infrastrukturalne.
Z perspektywy atakującego daje to kilka przewag. Po pierwsze, możliwe jest przejęcie resztkowego ruchu, który nadal trafia na dawny adres. Po drugie, na niektóre wygasłe domeny może nadal docierać poczta elektroniczna przeznaczona dla poprzedniego właściciela. Po trzecie, pozostawione rekordy DNS i powiązania usługowe mogą zostać użyte do przejęcia komunikacji lub budowy infrastruktury command-and-control.
W opisywanych analizach wskazano aktora nazwanego Sable Squirrel, który miał kontrolować ponad 10 tys. domen i inwestować znaczne środki w ich przejmowanie. Domeny te miały służyć zarówno do promowania nielegalnych serwisów, jak i do obsługi zaplecza malware. Wśród powiązanych rodzin złośliwego oprogramowania wymieniano m.in. Quasar RAT, AsyncRAT, DCRat oraz Remcos RAT.
Szczególnie niebezpieczny jest model określany jako scavenging. W tym scenariuszu przestępcy przejmują nie tylko domeny z historią, ale także takie, które były już wcześniej osadzone na zainfekowanych stronach albo uczestniczyły w łańcuchach ataku. Dzięki temu nowy właściciel może odziedziczyć gotowy strumień ruchu i ponownie przekierować go do własnej infrastruktury malware lub oszustw.
Konsekwencje / ryzyko
Dla organizacji ryzyko jest wielowymiarowe. Klasyczne modele reputacyjne mogą błędnie uznawać starą domenę za bardziej wiarygodną, mimo że jej właściciel i przeznaczenie całkowicie się zmieniły. To tworzy fałszywe poczucie bezpieczeństwa zarówno po stronie systemów ochronnych, jak i użytkowników końcowych.
Wygasłe domeny zwiększają skuteczność kampanii malware, phishingu i oszustw, ponieważ korzystają z istniejących odwołań oraz zaufania zbudowanego wcześniej. Dodatkowo pozostawione zależności techniczne, takie jak konfiguracje pocztowe, integracje aplikacyjne, webhooki czy rekordy DNS, mogą prowadzić do wycieku danych, przejęcia komunikacji lub wznowienia wcześniej uśpionych ścieżek ataku.
Z punktu widzenia zespołów SOC i threat huntingu oznacza to, że wiek domeny nie może być już samodzielnym wskaźnikiem bezpieczeństwa. Stary adres w nowych rękach może być groźniejszy niż nowo utworzona domena, ponieważ lepiej omija heurystyki i filtry oparte na reputacji.
Rekomendacje
Organizacje powinny traktować wygasłe domeny jako element zarządzania powierzchnią ataku. Kluczowe jest utrzymywanie pełnego rejestru wszystkich domen powiązanych z marką, produktami, kampaniami i spółkami zależnymi oraz monitorowanie ich statusu, terminów wygaśnięcia i zmian abonenta.
Równie ważny jest przegląd zależności technicznych. Należy identyfikować wszystkie miejsca, w których dana domena występuje w rekordach DNS, konfiguracjach poczty, certyfikatach, aplikacjach, integracjach SaaS, webhookach, dokumentacji oraz systemach tożsamości i dostępu.
- Monitorować ponowną rejestrację wygasłych domen powiązanych z organizacją.
- Oznaczać domeny po zmianie właściciela jako podwyższonego ryzyka.
- Regularnie usuwać nieaktualne rekordy DNS i nieużywane zależności zewnętrzne.
- Wdrażać i utrzymywać DMARC, SPF oraz DKIM dla aktywnych domen.
- Rozszerzyć polityki detekcji o sygnały takie jak zmiana hostingu, nowe certyfikaty TLS, nagłe przekierowania i nietypowa aktywność DNS.
- Prowadzić threat intelligence ukierunkowany na porzucone domeny własne i partnerskie.
Podsumowanie
Przejęcia wygasłych domen stają się dojrzałą i skuteczną techniką wspierającą cyberprzestępczość. Ich wartość wynika nie tylko z samej nazwy, ale przede wszystkim z odziedziczonej reputacji, istniejącego ruchu, historii technicznej i zaufania wypracowanego przez poprzedniego właściciela.
Dla obrońców oznacza to konieczność zmiany podejścia do oceny ryzyka. Stara domena nie musi być bezpieczna, a jej ponowna rejestracja może stać się punktem wejścia dla malware, phishingu, oszustw i nadużyć infrastrukturalnych. Skuteczna ochrona wymaga połączenia higieny domenowej, monitoringu zmian własności oraz stałej analizy technicznych zależności.
Źródła
- https://securityaffairs.com/197251/uncategorized/crooks-are-buying-your-expired-domains-and-using-them-to-deliver-malware.html
- https://www.infoblox.com/
- https://labs.watchtowr.com/