Sable Squirrelと期限切れドメインが生む700万ドル規模の経済圏、マルウェア拡散の温床に

インターネット上の古いアドレスは、たとえ元の所有者がとうの昔に手放していたとしても、真新しいアドレスよりもはるかに信頼できるものに見えることがあります。Infobloxの研究者は一連のレポートで、期限切れドメインを軸に構築された巨大な影の経済圏の全容を明らかにしました。脅威アクターは長年の実績を持つウェブアドレスを組織的に取得し、そこに残留するトラフィックやセキュリティシステムが積み上げてきた信頼をそのまま引き継いだうえで、マルウェア拡散、違法ストリーミング事業、オンラインギャンブルの宣伝といった不正行為に転用しているのです。

桁外れの規模を誇る市場

この市場の規模は驚くほど大きいことが判明しました。Infobloxが記録したところによると、2026年上半期だけでジェネリックトップレベルドメイン(gTLD)における1日あたりの再登録件数は50,000件を超え、country-code TLDを含めるとほぼ65,000件にまで達しました。gTLDにおける新規登録のうち約20%が、過去に別の所有者が保有していたアドレスでした。企業の廃業やプロジェクトの終了、更新料の単純な未払いなどによって、ドメインは再登録可能な状態になります。

古いドメインがドメイン名以上の価値を持つ理由

年数を経たドメインの価値は、そのドメイン名自体をはるかに超えます。ドメインが再登録された後も、既存の被リンクや残留する訪問者トラフィック、蓄積された評判がそのまま残るケースが少なくありません。ドメインの年数や履歴を考慮するセキュリティシステムは、こうしたアドレスを真新しいドメインよりも本質的に疑わしくないものとして扱うことがよくあります。場合によっては、所有権が移ったことにまったく気づかないまま、旧来のインフラが自動的にそのドメインへ通信を送り続けることさえあります。

Sable Squirrel:700万ドル規模のドメイン取得作戦

Infobloxは、10,000以上のドメインを管理するSable Squirrelという追跡対象のグループに、とりわけ大規模なこの手口を結びつけました。Infobloxが確認したところによると、同グループは約160件の期限切れドメインを43万ドル超で購入しており、こうしたドメインへの支出総額は全体で700万ドルを超えると見積もられています。取得されたアドレスは、以前はメディア企業、一般企業、非営利団体、スポーツ関連プロジェクトなど、いずれも正当な旧所有者が保有していたものでした。

Sable Squirrelはこのインフラを活用し、違法なスポーツストリーミングサービスを運営するとともに、ベトナムをはじめとする複数の国の視聴者に向けてギャンブルを宣伝しています。しかし重大なのは、これらのドメインの一部が同時に感染デバイスへのサービスにも使われている点です。Infobloxは、同グループが管理するドメインと通信するマルウェアサンプルを31,000件以上特定しました。その中にはQuasar RAT、AsyncRAT、DCRat、NanoCore、Remcos、njRATに加え、HiddenTearランサムウェアファミリーの特徴を持つサンプルも含まれています。

侵害済みインフラの継承:Stuffy SquirrelとShady Squirrel

別の手口として、他の脅威アクターが以前管理していたドメインを狙って取得するグループの存在も浮かび上がりました。侵害されたウェブサイトは何年にもわたって古い悪性コードを保持し続けることがあり、所有権が移った後もそのアドレスへの外向き通信を送り続けます。Infobloxは、新たな所有者がサイト自体を侵害する必要すら一切なく、既製の訪問者トラフィックの流れをそのまま引き継ぎ、そのトラフィックを広告や詐欺ページ、さらなるマルウェアへとリダイレクトしている実態を明らかにしました。Infobloxは、この手口を実行しているオペレーターとしてStuffy SquirrelとShady Squirrelの名を挙げています。

検知を逃れるために作り込まれた長期作戦

一部の手口は、自動スキャンツールをすり抜けるよう意図的に設計され、何年にもわたって継続されています。Stuffy Squirrelは少なくとも2020年から活動しており、現在では500以上のドメインを管理下に置いています。一方Shady Squirrelは、2026年を通じて訪問者を偽の技術サポート詐欺へと誘導した後、SocGholishマルウェアのトラフィック拡散へと手口を切り替えました。

Infobloxの分析によれば、失効したドメインは現在でもかつての評判だけでなく、既製の視聴者・訪問者層まで保持できるとされています。つまり、忘れ去られたインターネットアドレスであっても、まったく別の、しばしば悪意ある所有者にとって価値ある資産になり得るということです。