LONDON (IT BOLTWISE) – Laut einer Analyse einer DNS-Threat-Intelligence-Firma werden abgelaufene Domains im großen Stil gezielt wieder registriert, um bestehenden Ruf und Traffic für Betrug und Schadsoftware zu nutzen. Allein in den generischen Top-Level-Domains (gTLDs) wurden in der ersten Jahreshälfte 2026 täglich 50.400 Dropcatch-Domains erneut erfasst, in ccTLDs steigt die Zahl auf rund 65.000. Für Angreifer ist daran besonders wertvoll, dass frühere Verbindungen und DNS-Einträge bereits verwertbar sind. Im Fall eines als Sable Squirrel beschriebenen Akteurs fließen dabei bis zu etwa 7 Millionen US-Dollar in den Aufbau einer kriminellen Infrastruktur.
Wenn Domains verfallen, klingt das zunächst nach einem Routineprozess im Domain-System. Die aktuelle Auswertung eines DNS-Threat-Intelligence-Anbieters zeigt jedoch, dass „verfallen“ für Angreifer oft nur den Startschuss für eine zweite Karriere bedeutet: Abgelaufene Domains werden nicht nur gekauft, um sie später weiterzuverkaufen, sondern um bestehende Reichweite und Reputation in neue Schadkampagnen zu übersetzen. Das Muster heißt Dropcatch und nutzt genau den Moment, in dem eine Domain nach Ablauf der Registrierungs- und Grace-Phasen wieder verfügbar wird. Im Ergebnis entsteht ein Wettbewerb um Millisekunden, bei dem automatisierte Systeme die Registrierung praktisch „sofort“ übernehmen und damit den historischen Ruf einer Domain mitnehmen.
Technisch betrachtet sitzt der Hebel im Zusammenspiel aus Registrierungsregeln, DNS-Einträgen und dem Ökosystem rund um Backorders und Auktionen. In den meisten gTLDs existiert eine Rückhol-Policy: Bestandsinhaber dürfen innerhalb eines Zeitfensters noch einmal verlängern, danach wird die Domain freigegeben. Genau dort setzen Dropcatch-Dienste an, indem sie Domains, die kurz vor der Löschung stehen, überwachen und im Namen von Kunden registrieren. Für den Angriffsfall heißt das: Selbst wenn eine Domain „neu“ wirkt, kann sie in der Praxis noch Signale mitbringen, die Reputation-basierte Filter begünstigen – etwa weil Suchmaschinen-Rückstände, Caches oder verknüpfte Ressourcen bereits existieren. Die Analyse ordnet Dropcatch-Domains zudem als relevante Teilmenge des Gesamtmarkts ein: In der ersten Jahreshälfte 2026 wurden in gTLDs täglich im Schnitt 50.400 Dropcatch-Domains re-registriert, während unter Einbezug von ccTLDs etwa 65.000 erreicht werden; damit entfallen laut Bericht knapp 20% der täglichen Registrierungen auf Dropcatch und damit etwa jede fünfte neu registrierte Domain auf diese Kategorie.
Im Markt ist Dropcatch deshalb nicht nur ein Randphänomen, sondern eine Art Infrastruktur, die unterschiedlichste Akteure bedienen. Laut der gleichen Auswertung führen.net und.xyz die Aktivität auf TLD-Ebene an, während.com „nur“ auf Platz drei landet; auffällig sind außerdem weitere häufig genutzte TLDs wie.vip, .online, .store, .site, .app und.shop. Für viele Re-Registrierungen spielen registrarseitige Workflows und spezialisierte Dienste eine Rolle; im Datensatz werden auch gängige Registrare wie GoDaddy, Namecheap und Dropcatch.com genannt, wobei sich die Aktivitäten auf bestimmte Größenordnungen medianer täglicher Dropcatch-Domains je Registrar verteilen. Diese Verteilung ist auch sicherheitspolitisch relevant, weil sie verdeutlicht, dass sich der Missbrauch nicht auf einen einzigen technischen Kanal kappt – sondern auf mehrere Stellen im Registrierungs- und Service-Umfeld verteilt. Für Verteidiger bedeutet das: Blocklisten allein helfen nur begrenzt, wenn die Domain kurz nach der Freigabe wieder auftaucht und in derselben Zeitspanne bereits auf „Produktivschaltung“ umstellt.
Der Bericht macht den konkreten Missbrauch an Sable Squirrel fest, einem als Bedrohungsakteur beschriebenen Setup, das bis dato rund 7 Millionen US-Dollar in abgelaufene Domains investiert haben soll. Die Summe steht dabei nicht für „ein paar“ Zufallsübernahmen, sondern für eine planvolle Skalierung: Der Akteur soll über 10.000 Domains horten, die als Rückgrat für ein asiatisches Streaming- und Glücksspiel-Umfeld dienen, unter anderem unter Marken wie Xoilac, Cakhia, 90phut, Socolive und MiTom. Das Vorgehen verbindet dabei Live-Content und Weiterleitung: Über ein Traffic-Distribution-System (TDS) sollen Nutzer gezielt in Richtung Glücksspielangebote gelenkt werden, während Bots und nicht zielgerichtete Besucher über Umleitungen „weg“ geleitet werden, damit die eigentliche Abzweigung weniger auffällt. Gleichzeitig wird die Infrastruktur für Malware-Operationen genutzt – ein Teil der Streaming-Domains fungiert als Command-and-Control (C2). Für die technische Einordnung ist besonders belastbar, dass der Datensatz Kommunikationsmuster zu mindestens 31.000 Malware-Samples nennt, darunter Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT, njRAT und Artefakte, die mit HiddenTear-Ransomware-Signaturen verknüpft sein sollen. Zudem beschreibt der Bericht eine Verschiebung hin zu stärkerer C2-Nutzung auf Domains, die schon als Streaming-Standorte dienten, und weist auf eine mögliche Startphase für Dropcatch-Käufe bereits ab Juni 2023 hin.
Entscheidend ist zudem der „Zeitdruck“-Aspekt: Laut Auswertung werden 24% der Dropcatch-Domains am selben Tag aktiv, 76% innerhalb von sieben Tagen und 94% bis zum Ende von zwei Wochen. Damit entsteht eine Art Rennen zwischen Verteidigung und Monetarisierung – und der Angreifer bekommt einen Vertrauensvorschuss aus historischen Relationen. Genau diese Mechanik wird als „Trust Transfer“ beschrieben: Eine abgelaufene Domain ist nicht nur ein Name, sondern ein Paket aus Restverhalten – E-Mail-Adressbezügen, gecachte Suchtreffer, geerbtem Web-Traffic und gegebenenfalls bereits existierenden Möglichkeiten zur Code-Injektion über vorbereitete Pfade. Neben dem Sable-Squirrel-Szenario nennt der Bericht außerdem drei Gruppen finanziell motivierter „Scavengers“, die Tausende Domains kontrollieren und abgestreiften Traffic weiterverkaufen oder für betrügerische Ketten verwenden – darunter Akteure, die TDS nutzen und vor allem böswilliges JavaScript einschleusen, sowie solche, die über kompromittierte Zugriffswege oder Affiliate-/Werbeumfelder monetarisieren. Für Unternehmen folgt daraus eine klare Konsequenz: Registrierungsdaten, DNS- und HTTP-Historien müssen im Schutzkonzept mitgedacht werden, und Freigaben neuer/rekonstruierter Domains sollten nicht nur gegen „neu“ gelistete Muster bewertet werden, sondern gegen die Möglichkeit, dass eine Domain bereits innerhalb von Stunden eine Schadschicht aktiviert.
Für die Praxis heißt das auch, dass die Abwehr nicht ausschließlich am Domain-Namen hängen darf. Wenn „millisecondgenaue“ Registrierungsversuche zum Wettbewerb werden, verlagert sich der Fokus auf die schnelle nachgelagerte Bewertung: Wie schnell wird eine Domain in Web- und E-Mail-Flows sichtbar? Welche DNS-Änderungen erfolgen nach der Re-Registrierung? Und lassen sich Indikatoren aus dem tatsächlichen Content – etwa Redirect-Ketten, Cloaking-Mechaniken oder inkonsistente Ressourcen – frühzeitig erkennen? Der Bericht illustriert außerdem ein zweigleisiges Modell: Zum einen werden Dropcatch-Domains genutzt, um Legitimität, Backlinks und Alt-Traffic zu übernehmen; zum anderen setzen Angreifer auf frisch registrierte Lookalikes, um das Streaming-Fleet gezielt zu erweitern. Genau diese Kombination erklärt, warum „Reputation“ als Signal allein trügerisch sein kann: Sie kann gleichzeitig ein Timing-Vorteil und ein Filter-Fehler sein. Für Security-Teams und Plattformbetreiber ist damit ein Umdenken verbunden – weg von statischen Annahmen, hin zu dynamischen Analysen rund um Registrierung, DNS-Änderungen und Verhalten im Verkehr.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ablaufende Domains als KI-freier Beschleuniger: 7 Mio. Dollar für Scams und Malware" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ablaufende Domains als KI-freier Beschleuniger: 7 Mio. Dollar für Scams und Malware" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ablaufende Domains als KI-freier Beschleuniger: 7 Mio. Dollar für Scams und Malware« bei Google Deutschland suchen, bei Bing oder Google News!