Wprowadzenie do problemu / definicja
Wygasłe domeny internetowe stają się coraz cenniejszym zasobem dla cyberprzestępców. Po wygaśnięciu i ponownej rejestracji taka domena może zachować część swojej wcześniejszej reputacji, historię obecności w sieci, ruch z dawnych linków oraz techniczne powiązania z poprzednim właścicielem.
Z punktu widzenia bezpieczeństwa oznacza to, że nowy posiadacz domeny nie zaczyna od zera. Może przejąć zaufanie budowane przez lata i wykorzystać je do prowadzenia kampanii malware, phishingu, oszustw lub budowy infrastruktury command-and-control.
W skrócie
- Cyberprzestępcy kupują wygasłe domeny, aby odziedziczyć ich reputację i historię.
- Takie domeny mogą służyć do dystrybucji złośliwego oprogramowania, oszustw oraz obsługi infrastruktury C2.
- Resztkowy ruch, stare rekordy DNS i nadal kierowana poczta elektroniczna zwiększają skuteczność ataku.
- Wiek domeny nie powinien już być traktowany jako samodzielny wskaźnik bezpieczeństwa.
Kontekst / historia
Zjawisko przejmowania wygasłych domen nie jest nowe, jednak skala problemu wyraźnie rośnie. Każdego dnia na rynek wracają tysiące adresów, które miały już wcześniejszych właścicieli, historię indeksowania oraz techniczne relacje z innymi usługami.
Dla legalnych inwestorów domenowych takie aktywa są atrakcyjne z powodów marketingowych i SEO. Dla grup przestępczych ich wartość jest znacznie większa, ponieważ stara domena może zachować rozpoznawalność, backlinki, reputację i ślady obecności w systemach bezpieczeństwa.
Badacze wskazują również, że niektóre grupy skupują wygasłe domeny hurtowo. Następnie wykorzystują je do kierowania ruchu na nielegalne serwisy, wspierania oszustw afiliacyjnych, działań phishingowych oraz utrzymywania zaplecza technicznego dla złośliwego oprogramowania.
Analiza techniczna
Techniczna atrakcyjność wygasłej domeny wynika z efektu dziedziczenia. Po ponownej rejestracji nowy właściciel może skorzystać z wcześniejszej historii domeny, co daje przewagę nad całkowicie nowym adresem.
Jednym z najważniejszych elementów jest reputacja. Część narzędzi oceny ryzyka bierze pod uwagę wiek domeny, jej wcześniejsze użycie oraz historyczną obecność w ruchu sieciowym. W praktyce oznacza to, że przejęta domena może przez pewien czas wyglądać mniej podejrzanie niż świeża rejestracja.
Drugim istotnym czynnikiem jest ruch resztkowy. Dawne linki zwrotne, zakładki użytkowników, wyniki wyszukiwania oraz archiwalne publikacje nadal mogą kierować odwiedzających na domenę, która formalnie zmieniła właściciela. Atakujący może więc niemal natychmiast przechwytywać użytkowników bez konieczności budowania widoczności od zera.
Problematyczne są także pozostałości infrastrukturalne. Jeżeli po stronie dawnych integracji nadal istnieją aktywne odwołania do domeny, nowy właściciel może uzyskać kontrolę nad częścią ruchu aplikacyjnego, subdomenami lub innymi komponentami środowiska. To tworzy ryzyko nadużyć przypominających przejęcia oparte na dangling DNS.
Osobnym zagrożeniem jest poczta elektroniczna. Wygasła domena po ponownej rejestracji może nadal odbierać wiadomości wysyłane do poprzedniego właściciela. Taka sytuacja otwiera drogę do przechwycenia korespondencji biznesowej, danych operacyjnych, a nawet prób resetowania kont w zewnętrznych usługach.
W analizowanych przypadkach przejęte domeny były wykorzystywane zarówno do przekierowywania ruchu na nielegalne platformy, jak i do podtrzymywania infrastruktury malware. Kluczowe znaczenie ma tu szybkość działania napastników, którzy uruchamiają domenę zaraz po zakupie, zanim część mechanizmów ochronnych zaktualizuje klasyfikację nowego właściciela.
Konsekwencje / ryzyko
Dla organizacji skutki mogą być poważne i wielowarstwowe. Pierwszym zagrożeniem jest dystrybucja malware z użyciem domen, które z pozoru nie wydają się podejrzane. Utrudnia to filtrowanie ruchu, analizę reputacji adresów URL i wykrywanie kampanii phishingowych.
Drugim problemem jest utrata kontroli nad własną tożsamością cyfrową po wygaśnięciu domeny. Firma może nieświadomie oddać napastnikowi ruch użytkowników, stare adresy API, zależności SaaS oraz pocztę kierowaną na historyczne adresy e-mail.
Kolejne ryzyko dotyczy wtórnej kompromitacji. Jeżeli wygasła domena była wcześniej osadzona w skryptach, formularzach, bibliotekach lub komponentach marketingowych, jej przejęcie może umożliwić dalsze dostarczanie złośliwych treści do zewnętrznych serwisów i partnerów.
Z perspektywy zespołów SOC i blue teamów problem podważa skuteczność prostych wskaźników bezpieczeństwa. Sam wiek domeny przestaje być wiarygodnym sygnałem, jeśli adres o dobrej historii może zostać przejęty i szybko wykorzystany do działań przestępczych.
Rekomendacje
Organizacje powinny traktować zarządzanie domenami jako integralny element cyberbezpieczeństwa. Obejmuje to nie tylko bieżące utrzymanie aktywnych adresów, ale także kontrolę nad domenami historycznymi, markowymi i technicznie powiązanymi z dawnymi usługami.
- Utrzymywać centralny rejestr wszystkich domen, subdomen i powiązanych usług.
- Wdrożyć automatyczne monitorowanie terminów wygaśnięcia oraz procesy wcześniejszego odnawiania.
- Zachowywać kontrolę nad domenami po kampaniach marketingowych, wygaszanych produktach i przejętych spółkach.
- Regularnie audytować rekordy DNS, CNAME, MX oraz integracje SaaS.
- Monitorować ponowną rejestrację porzuconych domen należących wcześniej do organizacji lub jej partnerów.
- Ocenić reputację domen nie tylko według wieku, lecz także pod kątem zmiany właściciela i nagłego przeprofilowania treści.
- Rozszerzyć detekcję o sygnały takie jak szybka aktywacja po rejestracji, nietypowe rekordy DNS czy zmiany certyfikatów TLS.
- Przeglądać konfigurację SPF, DKIM i DMARC, aby ograniczyć skutki przejęcia domeny.
- Uwzględniać ryzyko wygasłych domen w procesach zamykania usług, offboardingu i fuzji oraz przejęć.
Podsumowanie
Przejęcia wygasłych domen pokazują, że cyberprzestępcy coraz skuteczniej wykorzystują cyfrowe pozostałości po firmach, produktach i kampaniach internetowych. Wartość takiej domeny wynika nie tylko z samej nazwy, ale przede wszystkim z odziedziczonej reputacji, ruchu, rekordów DNS i zaufania zbudowanego przez poprzedniego właściciela.
Dla obrońców oznacza to konieczność bardziej rygorystycznego zarządzania cyklem życia domen oraz odejścia od założenia, że starszy adres automatycznie jest bezpieczniejszy. W praktyce wygasła domena może bardzo szybko stać się skutecznym narzędziem dystrybucji malware i elementem infrastruktury ataku.
Źródła
- https://securityaffairs.com/197251/cyber-crime/crooks-are-buying-your-expired-domains-and-using-them-to-deliver-malware.html
- https://www.infoblox.com/
- https://labs.watchtowr.com/the-perils-of-expired-domains-were-reading-your-email/