Alan adı süresi dolmuş gibi görünen adresler, saldırganlara yeniden satıştan çok daha fazlasını kazandırıyor. Yapılan son analizlere göre tehdit aktörleri, geçmişte güvenilir görünen bu alan adlarına yaklaşık 7 milyon dolar harcayarak trafiği dolandırıcılık sayfalarına, bahis ağlarına ve zararlı yazılım altyapısına yönlendiriyor.
DNS tehdit istihbaratı alanında çalışan ekiplerin incelemesi, 2026’nın ilk yarısında yalnızca .com gibi genel üst seviye alan adlarında (gTLD) günde 50.400 “dropcatch” alan adının yeniden kaydedildiğini gösterdi. Ülke kodlu üst seviye alan adları da hesaba katıldığında günlük sayı 65.000’e yaklaşıyor. Bu rakam, günlük yeni kayıtların yaklaşık yüzde 20’sine denk geliyor; başka bir deyişle, her beş yeni alan adından biri daha önce tescil edilmiş ve sonra boşta kalmış bir ad oluyor.
Araştırmacılar, bu alan adlarının önceki sahiplerinden kalan itibar, bağlantılar ve hatta trafik nedeniyle hem kullanışlı hem de riskli hale geldiğini belirtiyor. Güvenlik ürünleri ile itibar tabanlı filtrelerin, sıfırdan açılmış bir kayıt yerine böyle bir alan adına daha olumlu yaklaşabildiği; saldırganların da tam olarak bu boşluktan yararlandığı aktarılıyor.
İncelemeye göre .net ve .xyz, dropcatch hareketliliğinde TLD seviyesinde .com’un önüne geçti. .org, .vip, .online, .store, .site, .app ve .shop da öne çıkan diğer uzantılar arasında. Yeniden kayıtların önemli bölümü GoDaddy, Namecheap ve DropCatch.com gibi kayıt operatörleri üzerinden yapılıyor. Medyan günlük dropcatch sayılarında GoDaddy 5.246, Namecheap 4.385 ve DropCatch.com 3.568 alan adıyla öne çıkıyor.
Alan adı ister yanlışlıkla unutulsun ister kasıtlı olarak serbest bırakılsın, birçok gTLD’de mevcut kayıt sahibine yenileme için bir süre tanıyan kurtarma politikaları bulunuyor. Bu süre dolduğunda alan adı silinme havuzundan çıkıyor ve yeniden herkesin kaydına açılıyor. Tam bu noktada DropCatch.com gibi hizmetler devreye giriyor; yaklaşan silinmeleri izleyip müşterileri adına otomatik kayıt denemesi yapıyor. Aynı alan adına birden fazla kişi talip olursa, alan adı açık artırmaya gidiyor ve en yüksek teklifi veren kazanıyor.
DropCatch.com kendi sitesinde, her gün 60.000 ile 85.000 arasında .com ve .net alan adının “Daily Drop” kapsamında erişilebilir hale geldiğini söylüyor. Şirketin tarifine göre bu piyasa son derece rekabetçi; gelişmiş algoritmalar, alan adının tam olarak hangi milisaniyede boşta kaldığını saptayıp arka arkaya yüzlerce satın alma denemesi göndererek avantaj sağlıyor. Bazı ihaleler, alan adı henüz kayıt havuzuna düşmeden önce başlıyor ve kullanıcılar, süresi dolmaya yaklaşan alan adlarını, mevcut teklifleri ve ilgi çeken kayıtları önceden görebiliyor.
Eski güven, yeni dolandırıcılık
İşte bu pazarın içinde, toplanıp yeniden kullanılan alan adları ciddi bir güvenlik sorununa dönüşüyor. Savunma ekipleri bu alan adlarını bazen ileride kötüye kullanılmasın diye bilerek satın alıyor. Alan adı yatırımcıları ise boşalan adresleri alıp sonra daha yüksek fiyata satarak gelir elde ediyor. Ancak geçmişi olan bir alan adını bir saldırgan ele geçirdiğinde tablo değişiyor.
Analize göre saldırganlar için asıl değer yalnızca eski itibar değil. Bu alan adları, önceki sahibine giden e-postaları, önbelleğe alınmış arama sonuçlarını, kalıntı trafik akışını ve bazı durumlarda daha önceden ele geçirilmiş sitelerde kod enjeksiyonu için hazır bir zemin de beraberinde getiriyor. DNS kayıtları üzerinde kalan eski girdiler de saldırganlara yeni fırsatlar açabiliyor.
Bu modeli en agresif kullanan isimlerden biri Sable Squirrel olarak izleniyor. Tehdit aktörünün, yasa dışı spor yayını, çevrim içi kumar tanıtımı ve zararlı yazılım altyapısı kurmak için süresi dolmuş alan adlarına bugüne kadar yaklaşık 7 milyon dolar harcadığı değerlendiriliyor. Bu parayla alınan şey yalnızca bir alan adı değil; yaşlı kayıt geçmişi, geri bağlantılar, kalan trafik ve birçok savunmanın hâlâ güven sinyali saydığı itibar izleri oluyor.
İncelemelerde Vietnam’ın operasyonun merkezi olduğu yönünde güçlü bulgular var. Yapı ile, Mart 2026’da Vietnam makamlarınca dağıtılan yasa dışı yayın ağı Xoi Lac TV arasındaki örtüşmeler de dikkat çekiyor. Sable Squirrel’in 10.000’den fazla alan adı stokladığı, bunların büyük bölümünü de Xoilac, Cakhia, 90phut, Socolive ve MiTom gibi markalar altında yürütülen büyük bir Asya spor korsanlığı operasyonunun omurgası olarak kullandığı belirtiliyor.
Bu platformlar, taraftarları “geri döndürmek” için birer edinim kanalı gibi çalışıyor. Aynı ağ, VSBet, ColaScore ve 8xbet gibi bahis hizmetlerinin tanıtımında da kullanılıyor. Kampanya Facebook, Instagram, Reddit, Twitch, Amazon Podcasts, saldırganın kendi YouTube kanalları ve ele geçirilmiş iş ilanı ile topluluk sitelerindeki reklamlar üzerinden yayılıyor. Hedef, trafik dağıtım sistemi olarak bilinen TDS aracılığıyla Vietnam, Güney Kore, Japonya, Tayvan, Singapur ve Avustralya’daki kullanıcıları seçici biçimde yasa dışı yayın sitelerine yönlendirmek.
Araştırmacılar, ColaScore ve VSBet için Google Play’de yayımlanan Android uygulamalarının da bulunduğunu; bunların bir kısmının ele geçirilmiş olabileceği düşünülen geliştirici hesapları üzerinden sunulduğunu aktarıyor. Bir hesabın kapatılmasının ardından başka bir hesabın aynı uygulamaları yaymaya devam ettiği, bu nedenle yapının tek seferlik olmadığı vurgulanıyor.
Sable Squirrel altyapısıyla iletişim kuran örneklerin sayısı da dikkat çekici. En az 31.000 zararlı yazılım örneği, Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT, njRAT ve HiddenTear izleri taşıyan örnekler dahil olmak üzere bu altyapıyla bağlantı kurmuş durumda. Yayın alan adlarının bir kısmı, ziyaretçilere canlı yayın sunmaya devam ederken aynı zamanda komuta-kontrol (C2) sunucusu olarak da iş görüyor.
Xoi Lac TV markası 2016’da ortaya çıktı. Ancak ilk zararlı yazılım C2 yapılandırmaları, Kasım 2025’te zaten yayın içeriği sunan Sable Squirrel alan adlarında görülmeye başladı. Bu geçiş, operasyonun yalnızca yasa dışı yayın ve bahisle sınırlı kalmadığını gösteriyor. Tehdit aktörünün dropcatch alan adlarını satın almaya en geç Haziran 2023’te başladığı düşünülüyor.
İlginç olan bir diğer nokta, yapının iki hatlı bir alan adı modeli kullanması. Bir yanda DropCatch.com, GoDaddy, Namecheap ve Dynabot üzerinden açık artırmayla alınan, önceki sahiplerinin meşruiyetini, giriş trafiğini ve geri bağlantılarını miras alan süresi dolmuş alan adları var. Diğer yanda ise yayın ağını döndürmek için kullanılan yeni ve benzer görünümlü alan adları bulunuyor.
Sable Squirrel’in yasa dışı spor yayını için aldığı bazı alan adları da kamuya yansıdı. Bunlar arasında 2009’da General Electric tarafından başlatılan sağlık girişimine ait healthymagination[.]com, Procter & Gamble’ın sahibi olduğu kozmetik markası maxfactor-international[.]com, 2022’de önerilen ancak Aralık 2024’te rafa kaldırılan Kroger-Albertsons birleşmesi için açılmış krogeralbertsons[.]com, eski Sony PlayStation geliştirici araçları şirketi snsystems[.]com, GitLab’in 2024’te temel varlıklarını satın aldığı eski siber güvenlik şirketi rezilion[.]com ve artık faal olmayan cel-robox[.]com yer alıyor.
Örneğin cel-robox[.]com alan adının hem yasa dışı yayın sitesi hem de Quasar RAT için C2 sunucusu olarak kullanıldığı tespit edildi. Bu da altyapının tek amaçlı değil, çift kullanımlı şekilde işletildiğini gösteriyor. İncelemelerde eğitim, bilişim, danışmanlık, kamu, sağlık ve bankacılık sektörlerinden sistemlerin bu C2 alan adlarıyla temas kurduğu da yer alıyor.
Başıboş trafiği toplayan üç Squirrel grubu
Dropcatch alan adları yeniden kaydedildiğinde, saldırganlar bunları çok kısa sürede silaha çeviriyor. Verilere göre alan adlarının yüzde 24’ü aynı gün, yüzde 76’sı yedi gün içinde ve yüzde 94’ü iki haftanın sonunda aktif hale geliyor. Bu tempo, saldırganların yeni gelen itibar ve trafik akışını hızla paraya çevirmeye çalıştığını gösteriyor.
Operasyonun nihai hedefi spor izleyicilerini bahis sitelerine aktarmak olsa da, bunu doğrudan yapmak yerine yönlendirme ve gizleme zinciri kuruyor. 6789x[.]site gibi alan adları bu zincirde kritik rol oynuyor; gerçek kullanıcıları bahis platformlarına gönderirken botları ve hedeflenen profilde olmayan ziyaretçileri çıkmaz sayfalara yönlendiriyor. Böylece bahis sayfası perde arkasında kalıyor.
Infoblox, Sable Squirrel’in bir alan adının itibarını satın alıp bunu yayın ile bahis arasındaki bir makineye bağladığını, aynı alan adlarının bir kısmını da zararlı yazılım altyapısı olarak kullandığını yazdı. Şirket, bu grubun yalnızca bir isim satın almadığını; kalan güven, trafik ve geri bağlantılar sayesinde alan adını neredeyse hemen çalıştırabildiğini ve geçmişe dayalı kontrolleri atlattığını belirtiyor.
Aynı arka uç hizmetleri, spor veri akışları, görsel altyapı ve canlı sohbet bileşenleri, Vietnam merkezli yayın ağı ile Çince bahis markaları ve Endonezce ile Rusça konuşan kitlelere dönük kampanyalarda da görülüyor. Bu da yapının tek coğrafyaya ya da tek dile sıkışmadığını ortaya koyuyor.
İncelemelerde yalnızca Sable Squirrel değil, süresi dolmuş ve daha önce ele geçirilmiş alan adlarını “toplu halde” kullanarak dolandırıcılık ve zararlı yazılım ekosistemleri kuran başka gruplar da izleniyor. Bunlardan biri Stuffy Squirrel. En az 2020’den beri aktif olan grup 500’den fazla alan adını kontrol ediyor, bir trafik dağıtım sistemi işletiyor ve ziyaretçilere zararlı JavaScript göndererek trafik satıyor. Tarayıcılar alan adını doğrudan taradığında ise Raphaël.js gibi meşru yem kütüphaneleri servis ediyor.
Shady Squirrel ise en az Temmuz 2023’ten beri faal ve 700’den fazla alan adı yönetiyor. Rusça konuşan tehdit aktörü olarak tanımlanan grup, trafik akışını SocGholish gibi ilk erişim aracı sağlayıcılarına ve teknik destek dolandırıcılıklarına, ayrıca Keitaro sunucuları kullanan satış ortaklığı ağlarına yönlendiriyor. SocGholish’in, altyapısı bir kolluk operasyonunda sekteye uğradıktan sadece günler sonra bu aktörle iş birliği yaparak binlerce ele geçirilmiş siteye yeniden eriştiği de değerlendiriliyor.
Swiping Squirrel ise en az 2022’den beri aktif ve 3.000’den fazla alan adı kontrol ediyor. Bu grup, sahte trafiği doğrudan sahte tıklama reklam platformlarına gönderiyor; bu platformlar da trafiği dolandırıcılık veya zararlı yazılım için yeniden satıyor. Kendileri doğrudan zararlı içerik dağıtmıyor.
Yapılan analizler, bu aktörlerin siteleri bizzat ele geçirmek yerine önceki sahiplerden kalan trafik zincirlerini kullandığını ortaya koyuyor. Ardından kendi içeriklerini yerleştiriyorlar. Bu nedenle araştırmacılar onları “toplayıcı” olarak tanımlıyor. Aynı ele geçirilmiş alan adı, ziyaretçinin özelliklerine, zamana ve başka koşullara göre farklı bir dropcatch aktörü tarafından farklı bir yere yönlendirilebiliyor.