Cybercriminelen geven grote bedragen uit aan verlopen internetdomeinen om de reputatie, backlinks en het webverkeer van de vorige eigenaar over te nemen. Onderzoekers troffen ruim 10.000 domeinen aan die naar schatting samen meer dan 7 miljoen dollar hebben gekost.
Dat blijkt uit nieuw onderzoek van Infoblox Threat Intel. Het is de dreigingsactor die onderzoekers ‘Sable Squirrel’ noemen, die achter een omvangrijk crimineel ecosysteem blijkt te zitten. Zo komen illegale sportstreaming, online gokpromotie en malware-c2-infrastructuur op dezelfde domeinen samen.
In de eerste helft van 2026 werden dagelijks ongeveer 65.000 domeinen opnieuw geregistreerd (de zogenaamde ‘dropcatch’), goed voor bijna 20% van alle dagelijks nieuw waargenomen domeinen.
Niet alleen legitieme domeinen zijn gewild: er bestaat ook een markt voor domeinen die eerder al voor kwaadaardige doeleinden zijn gebruikt.
Kijken naar voetbal
Onderzoekers vonden meer dan 31.000 malwaresamples die contact maken met domeinen van Sable Squirrel. Via die domeinen kunnen de criminelen besmette apparaten op afstand aansturen. Het gaat om bekende kwaadaardige software zoals Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos en njRAT.
Opvallend genoeg leverde de malware zelf het bewijs aan. In de programmagegevens staan verwijzingen naar de streamingmerken ‘socolive’ en ‘xoilac’. Een bezoeker denkt dan gewoon naar een voetbalwedstrijd te kijken, maar op de achtergrond gebruikt een besmet apparaat datzelfde adres om contact te maken met de criminelen. De streamingsites blijken bovendien nauw verbonden met gokmerken als VSBet, ColaScore en 8xbet.
Het fenomeen is niet nieuw. Vietnamese autoriteiten bevroren in februari 2026 diverse sites en klaagden een maand later dertig verdachten aan, maar de operatie krabbelde binnen een maand alweer overeind. Dat laat zien hoe lastig dit soort netwerken echt te stoppen is.
