Un actor rastreado como Sable Squirrel invirtió casi 7 millones de dólares en dominios con historial para montar streaming ilegal y servidores de malware simultáneamente
Cada día, aproximadamente 65.000 nombres de dominio que alguna vez pertenecieron a alguien vuelven al mercado y son re-registrados por nuevos propietarios. En la primera mitad de 2026, estos dominios con vida anterior — que Infoblox denomina dropcatch domains — representaron casi el 20% de todos los nuevos registros globales: uno de cada cinco dominios «nuevos» arrastra un pasado. Algunos terminan en manos de inversores legítimos o investigadores. Otros quedan bajo control de actores de amenaza que descubrieron que un dominio con historial vale más que uno en blanco, porque hereda reputación, tráfico residual y conexiones DNS que los sistemas de seguridad todavía consideran confiables.
Por qué un dominio viejo es más valioso que uno recién creado
Un dominio registrado hace diez años, abandonado y luego re-adquirido, conserva señales asociadas a su historia completa. Algoritmos de reputación, productos de seguridad y motores de búsqueda tienden a evaluarlo más favorablemente que un registro genuinamente nuevo. Esa percepción heredada no es solo un puntaje abstracto: incluye tráfico web residual de backlinks antiguos, correos electrónicos que siguen llegando para el propietario anterior, resultados en caché de buscadores y, en algunos casos, registros DNS que todavía apuntan a infraestructura que ya no está bajo control del dueño original.
Entre los dominios genéricos de nivel superior, el promedio diario es de 50.400 dominios con vida anterior. Los TLD .net y .xyz tienen las tasas más altas, con casi 30% de nuevos registros previamente registrados, mientras que .com alcanza 24.5%. Determinar quién compra estos dominios y cómo los usa sigue siendo difícil debido a privacidad WHOIS, transferencias, estacionamiento y subastas, pero el patrón de uso malicioso ya es rastreable a escala.
Cómo Sable Squirrel convirtió dominios expirados en una operación criminal de 7 millones de dólares
Infoblox rastreó a un actor de amenaza denominado Sable Squirrel que gastó casi 7 millones de dólares adquiriendo dominios expirados para construir una operación que abarca streaming deportivo ilegal, promoción de apuestas e infraestructura de malware. El actor controla más de 10.000 dominios y opera plataformas de streaming bajo marcas como Xoilac, Cakhia y 90phut, dirigidas a usuarios vietnamitas, coreanos, japoneses y australianos, que redirigen hacia sitios de apuestas. Un subconjunto de esos mismos dominios de streaming funciona simultáneamente como servidores de comando y control para malware, incluyendo Quasar RAT, AsyncRAT, DCRat y Remcos RAT.
Entre los dominios expirados que Sable Squirrel adquirió figuran healthymagination.com, originalmente una iniciativa de salud de General Electric, y rezilion.com, una empresa de ciberseguridad cuyos activos fueron vendidos a GitLab en 2024. El actor compró la reputación de una firma de seguridad extinta y la apuntó hacia infraestructura de malware, aprovechando exactamente cómo las herramientas de seguridad evalúan la antigüedad de un dominio como señal de confianza.
Velocidad de activación: 24% de los dominios operativos el mismo día de compra
Una vez que Sable Squirrel re-registra un dominio, la activación es inmediata: el 24% de los dominios se activan el mismo día, el 76% dentro de siete días y el 94% dentro de dos semanas. El objetivo es capturar tráfico antes de que los sistemas de seguridad actualicen sus evaluaciones de reputación. Esta ventana de confianza heredada es el activo principal que justifica la inversión millonaria en dominios con historial.
Infoblox también rastrea tres actores adicionales denominados Stuffy Squirrel, Shady Squirrel y Swiping Squirrel, que operan con una estrategia distinta: en lugar de comprar dominios al por mayor para una operación planificada, adquieren dominios expirados que fueron previamente comprometidos por otros atacantes y simplemente heredan el tráfico de infección existente. Shady Squirrel, evaluado como de habla rusa y activo desde al menos julio de 2023, alimenta ese tráfico hacia redes de SocGholish y estafas de soporte técnico. SocGholish recuperó acceso a miles de sitios comprometidos asociándose con Shady Squirrel días después de que su propia infraestructura fuera interrumpida por acciones de aplicación de la ley.
Exposición en América Latina por dependencia de evaluación de reputación heredada
La dependencia regional de sistemas de seguridad que evalúan dominios principalmente por antigüedad y reputación histórica amplifica la exposición en América Latina, donde organizaciones financieras, de salud y gobierno en países como México, Brasil, Colombia y Argentina utilizan soluciones de filtrado web y correo que confían en esas señales sin validación continua de cambio de propiedad. Un dominio que fue legítimo durante años y luego pasó a manos de Sable Squirrel o actores similares puede seguir siendo considerado confiable por productos de seguridad hasta que se actualicen las listas de reputación, creando una ventana de exposición que los atacantes explotan sistemáticamente para distribución de malware y phishing dirigido a usuarios de habla hispana y portuguesa.
Nuestro análisis
El mercado de dominios expirados no es nuevo, pero la escala documentada por Infoblox — 65.000 dominios diarios, 20% de todos los nuevos registros en la primera mitad de 2026 — revela que la reutilización maliciosa dejó de ser un caso de borde para convertirse en un vector estructural. La inversión de 7 millones de dólares de Sable Squirrel no es el gasto errático de un actor oportunista: es una operación industrial que monetiza reputación heredada a través de streaming ilegal y malware simultáneamente, aprovechando que los sistemas de defensa todavía tratan la antigüedad de un dominio como señal de confianza en lugar de como dato neutral que requiere validación de contexto actual.
El patrón de actores scavenger como Shady Squirrel, que heredan tráfico de sitios previamente comprometidos simplemente re-registrando el dominio expirado, demuestra que la persistencia de una infección ya no depende solo de mantener acceso técnico al servidor original: basta con esperar a que expire el dominio y comprarlo para recuperar el flujo de víctimas sin necesidad de volver a comprometer infraestructura. La lección incómoda para defensores es que la edad de un dominio y su reputación histórica son entradas que ameritan cuestionamiento activo, no confianza por defecto, porque un dominio viejo en manos nuevas es tan confiable como quien lo controla ahora — y eso cambia cada día 65.000 veces. ¿Cuántos de esos dominios con historial limpio están siendo evaluados hoy por sistemas que no saben que cambiaron de dueño hace una semana?