網站雖然看似已死，但實際上並沒有真正消失。

網域是網路上最接近信用評分的東西；網域年齡、入站連結、搜尋引擎可見性和聲譽等因素都會影響信譽評分，安全產品在決定請求是否值得關注之前會參考這些評分。

Infoblox Threat Intel 的最新研究聲稱，這段歷史已經成為一種有市場價格的商品，而且至少有一個犯罪團夥正在大量購買它。

該研究以三部分系列的形式發表，重點關注業內所謂的「域名回收」：域名過期後被退回註冊局，隨後又被完全不同的一方重新註冊。

過期後設定收購網域：利用漏洞進行賭博，而這種漏洞可能滋生惡意軟體

域名過期後收購並非新鮮事；多年來一直有軟體可以偵測過期域名，有時還能為部署此類解決方案的用戶帶來巨大收益。

這樣一來，用戶可以從那些已經具有良好歷史記錄的網域入手，或者以通常是網域原始購買價格兩倍的價格出售某些網域。

Infoblox統計顯示，2026年上半年通用頂級域名（gTLD）的日均重新註冊量為50,400個，若包含國家代碼頂級域名（ccTLD），則約為65,000個。這約佔每日註冊總量的五分之一。 .net和.xyz域名的重新註冊率最高，近十分之三的新註冊域名都有過註冊記錄，其次是.com域名，重新註冊率達24.5%。

但問題在於，並非所有這些操作看起來都無害或只是小規模的投機活動：Infoblox 發現了一個名為 Sable Squirrel 的實體，這是該公司用於網域庫的命名規則的一部分。該實體控制著超過 10,000 個域名，其中大部分域名支援著一個大規模的越南語體育盜版網絡，該網絡使用 Xoilac、Cakhia、90phut、Socolive 和 MiTom 等品牌。

Infoblox 估計，該業者在過期網域上的總支出超過 7 萬美元，這是該公司在該領域發現的單一業者最高的網域收購預算。更嚴重的問題是，Infoblox 還發現，這些串流媒體網域中的一部分被用作惡意軟體的命令和控制伺服器，同時仍向用戶提供足球比賽的直播。

已識別出超過 31,000 個與 Sable Squirrel 基礎設施相關的樣本，其中包括 Quasar RAT、AsyncRAT、DCRat、NanoCore、Remcos 和 njRAT 等惡意軟體，以及帶有 HiddenTear 勒索軟體特徵的樣本。

Infoblox報告稱，由於運營商的疏忽，很容易找到關聯；許多樣本的Windows可執行文件元數據中包含攻擊者的品牌名稱，字段顯示為socolive、xoilac和8xbet。 Infoblox證實，有405個網域被用作該惡意軟體的命令與控制（C2）伺服器，約佔該組織控制網域總數的4%。這些域名的武器化是在2025年末以單一浪潮的形式發生的，並非該行動的最初目的。

Sable Squirrel 的主要業務是賭博，雖然它試圖將其偽裝成串流媒體業務，但實際上也充當引流管道的角色。儘管執法部門對此事有所關注，但其成效甚微：越南當局在 2026 年 2 月凍結了一些主要網站，並在 3 月起訴了 30 名嫌疑人。

當局還查封了 Infoblox 估計價值約 1200 萬美元的資產，但該實體似乎已經倖存下來並繼續擴張，自 6 月以來收購並運營了專注於世界盃的域名，進一步擴大了其在域名權威這一可以說是非常有價值的商品領域的影響力。