Infoblox bezeichnet erneut registrierte, zuvor abgelaufene Adressen als Dropcatch-Domains. Solche Domains werden nach Ablauf einer Verlängerungsfrist wieder frei und können dann von Dritten registriert oder über spezialisierte Dienste wie DropCatch.com per Vorbestellung und Auktion übernommen werden. Laut Infoblox ist das kein Nischenphänomen: Bei den Top-Level-Domains führen .net und .xyz die Dropcatch-Aktivität an, vor .com. Ebenfalls häufig betroffen sind .org, .vip, .online, .store, .site, .app und .shop. Zu den wichtigsten Registraren zählen GoDaddy, Namecheap und DropCatch.com mit medianen Tageswerten von 5.246, 4.385 und 3.568 Dropcatch-Domains.
Der sicherheitsrelevante Wert solcher Domains liegt laut Infoblox nicht nur in ihrem historischen Ruf. Mit ihnen kommen oft verbliebene E-Mails, zwischengespeicherte Suchtreffer, vererbter Web-Traffic und teils auch eine fertige Plattform für Code-Injektionen auf bereits kompromittierten Websites. Hinzu kommen liegengebliebene DNS-Einträge, die Angreifern zusätzliche Möglichkeiten eröffnen können.
Ein zentrales Beispiel ist Sable Squirrel. Nach Einschätzung von Infoblox hat die Gruppe bislang fast 7 Millionen US-Dollar für abgelaufene Domains ausgegeben und mehr als 10.000 Domains angesammelt. Der Akteur betreibt damit nach Angaben des Unternehmens ein kriminelles Geflecht aus illegalem Sport-Streaming, Werbung für Online-Wetten und Malware-Infrastruktur. Hinweise deuten laut Infoblox darauf hin, dass Vietnam das Zentrum der Operation ist; es gebe deutliche Überschneidungen mit Xoi Lac TV, einem illegalen Streaming-Netzwerk, das vietnamesische Behörden Anfang März zerschlagen hatten.
Die Domains dienen laut Bericht als Rückgrat einer großen asiatischen Sportpiraterie-Operation unter Marken wie Xoilac, Cakhia, 90phut, Socolive und MiTom. Diese Plattformen sollen Nutzer anziehen und zugleich Wettangebote wie VSBet, ColaScore und 8xbet bewerben, mit denen Sable Squirrel laut Infoblox zusammenarbeitet. Die Verbreitung erfolgt demnach über Facebook, Instagram, Reddit, Twitch, Amazon Podcasts, eigene YouTube-Kanäle sowie Anzeigen auf kompromittierten Job- und Community-Seiten. Ein Traffic-Distribution-System leite Nutzer in Vietnam, Südkorea, Japan, Taiwan, Singapur und Australien gezielt zu den illegalen Streaming-Seiten um.
Zusätzlich entdeckte Infoblox Android-Apps für ColaScore und VSBet im Google Play Store sowie in Entwicklerkonten, die als mutmaßlich kompromittiert eingestuft werden. Laut Infoblox handelt es sich nicht um Einzelfälle: Nach Sperrungen durch Google tauchten andere Konten auf, die dieselben Apps weiter verteilten.
Auch die Malware-Komponente ist erheblich. Nicht weniger als 31.000 Malware-Proben haben nach Angaben von Infoblox mit der Infrastruktur von Sable Squirrel kommuniziert, darunter Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT, njRAT sowie Artefakte mit Signaturen von HiddenTear-Ransomware. Ein Teil der Streaming-Domains fungiere zugleich als Command-and-Control-Server und liefere dennoch weiter Live-Streaming-Inhalte aus. Die Marke Xoi Lac TV existiert zwar seit 2016, doch erst im November 2025 tauchten auf Sable-Squirrel-Domains erstmals Malware-C2-Konfigurationen auf, die bereits Streaming-Inhalte auslieferten. Den Kauf von Dropcatch-Domains soll die Gruppe bereits im Juni 2023 begonnen haben.
Infoblox beschreibt bei Sable Squirrel ein Zwei-Gleis-Modell: Einerseits kauft die Gruppe abgelaufene Domains über DropCatch.com, GoDaddy, Namecheap und Dynabot, um von Registrierungshistorie, eingehendem Traffic und Backlinks zu profitieren. Andererseits setzt sie frisch registrierte Imitations-Domains für ihre Streaming-Flotte ein. Ein Beispiel ist laut Bericht die Domain „cel-robox[.]com“, die sowohl als illegale Streaming-Seite als auch als C2-Server für Quasar RAT genutzt wurde. Zu den Sektoren, die mit Malware-C2-Domains Kontakt aufgenommen haben, zählen laut Infoblox Bildung, IT und Beratung, Behörden, Gesundheitswesen und Banken.
Wie schnell solche Domains missbraucht werden, zeigt die Auswertung ebenfalls: 24 Prozent gehen noch am selben Tag live, 76 Prozent innerhalb von sieben Tagen und 94 Prozent binnen zwei Wochen. Neben Sable Squirrel beobachtet Infoblox drei finanziell motivierte „Aasfresser“, die Tausende Domains kontrollieren, Rest-Traffic betrügerisch abfangen und an andere Dienste weiterverkaufen. Statt selbst Websites zu kompromittieren, übernähmen sie abgelaufene Domains und profitierten sofort von den Infektionsketten, die deren Vorgänger hinterlassen hätten.