- Infoblox Threat Intelの集計によると、2026年上半期には1日あたり約65,000件の有効期限切れドメインが再登録されており、これは新規登録全体のほぼ5件に1件に相当します
- 同社が「Sable Squirrel」と呼ぶ攻撃者は10,000以上のドメインを支配下に置いており、推計では、引き継がれたトラフィックやドメイン権威を得るために有効期限切れドメインの購入に700万ドル以上を費やしたとみられています
- これらのドメインの一部は、同グループに帰属することが判明している既存マルウェアの指令サーバー(C2)としても機能しています
ドメイン名は、いわばウェブ版の信用履歴とも言える存在です。ドメインの登録年数、被リンク数、検索での可視性、そして評判は、あるリクエストが警戒に値するかどうかをセキュリティ製品が判断する際に参照する評価スコアを形成します。
Infoblox Threat Intelによる新たな調査によれば、こうした「履歴」自体が市場価格を持つ商品と化しており、少なくとも一つの犯罪組織がこれを大量に買い漁っているといいます。
3部構成で公開されたこの調査は、業界で「ドロップキャッチ(dropcatch)ドメイン」と呼ばれるものに焦点を当てています。これは、有効期限が切れてレジストリに返却されたドメイン名が、まったく別の第三者によって再登録されたものを指します。
ドロップキャッチドメインの実態――ギャンブル事業に潜むマルウェアの罠
ドロップキャッチドメイン自体は目新しい手口ではありません。有効期限が近いドメインを検知するソフトウェアは何年も前から存在しており、こうしたツールを使うユーザーが時に大当たりを引き当てることもあります。
これにより、ユーザーは自らに有利な履歴をすでに持ったドメインから事業をスタートさせたり、あるいは元の購入価格の何倍もの値段でドメインを転売したりすることが可能になります。
Infobloxの集計では、2026年上半期のgTLD全体における1日あたりの再登録件数は平均50,400件にのぼり、ccTLDを加えると約65,000件にまで増加します。これは1日の新規登録全体のほぼ5分の1に相当する数字です。再登録率が最も高いのは.netと.xyzで、新たに観測されたドメイン名の実に10件中3件近くが「過去に別の持ち主がいた」ドメインでした。.comはこれに次いで24.5%となっています。
問題は、これらすべてが一見無害な、あるいは小規模な転売業に過ぎないわけではないという点です。Infobloxは、同社がドメイン買い占め業者に用いる命名規則の一環として「Sable Squirrel」と名付けた組織を特定しました。この組織は10,000以上のドメインを支配下に置いており、その大半はXoilac、Cakhia、90phut、Socolive、MiTomといったブランドで展開される、大規模なベトナム語圏のスポーツ違法配信事業を支えるために使われています。
Infobloxは、この攻撃者が有効期限切れドメインの購入に投じた総額を700万ドル以上と推計しており、これは同社が業界内で単一の攻撃者について確認した中で最大級のドメイン取得予算だとしています。さらに深刻なのは、これらストリーミング用ドメインの一部が、一般の視聴者に生のサッカー中継を配信し続けながら、同時にマルウェアの指令サーバー(C2)としても稼働していたことをInfobloxが突き止めた点です。
確認された31,000件を超えるマルウェア検体が、Sable Squirrelのインフラに通信を行っていました。その内訳はQuasar RAT、AsyncRAT、DCRat、NanoCore、Remcos、njRATに及び、加えてHiddenTearランサムウェアの特徴を持つ検体も含まれていました。
Infobloxによれば、攻撃者側の不注意によって関連性の特定は比較的容易だったといいます。多くの検体では、そのWindows実行ファイルのメタデータに攻撃者自身のブランド名が記載されており、socolive、xoilac、8xbetといった文字列がフィールドに残されていました。Infobloxはマルウェアの指令サーバー(C2)として機能するドメインを405件確認しており、これは同組織が支配する全ドメインの約4%に相当します。また、こうした兵器化は事業の当初からの目的ではなく、2025年後半に一度の波として実施されたものとみられています。
Sable Squirrelの中核事業はギャンブルであり、表向きは動画配信事業を装っているものの、実際にはギャンブル顧客獲得のためのチャネルとしても機能しています。法執行機関もこの問題に無策だったわけではありませんが、成果は限定的と言わざるを得ません。ベトナム当局は2026年2月、主力サイトの一部を凍結し、3月には30人の容疑者を起訴しました。
当局はInfobloxの試算で約1,200万ドル相当の資産も押収しましたが、この組織は生き延び、事業を拡大し続けているようです。6月以降はワールドカップに関連するドメインを取得・運用し、すでに極めて重要な「商品」と言えるドメイン権威の一部を確保しているこの世界で、さらに勢力範囲を広げています。
