网络安全公司 Infoblox 8 月 18 日发布报告，一个代号"松鼠"（Sable Squirrel）的犯罪组织花了近 700 万美元收购过期域名，囤了超过一万枚，用来继承信誉、运营盗版流媒体、赌博和传播恶意软件。一个 3D 打印机公司的旧域名，被它改造成了非法流媒体和木马控制服务器。

过期域名每天都有大量被重新注册。Infoblox 的数据显示，2026 年上半年，仅通用顶级域每天就有约 5 万个过期域名被重新注册，算上国别域约 6.5 万个，占每天新增注册的近五分之一。这些域名带着上一任持有人的信誉、外链和残留流量，会被安全系统当成可信的老站。

这家安全公司给这类域名起名"dropcatch domains"，并追踪到一个代号 Sable Squirrel 的犯罪组织。报告评估它花了近 700 万美元收购过期域名，囤了超过一万枚，用来支撑一个覆盖非法体育流媒体、在线赌博和恶意软件分发的基础设施，主要面向越南、韩国、日本等亚洲市场。它同时走两条路，一边买带信誉的过期域名，一边注册新的近似域名扩张品牌，老域名带来流量和信任，新域名帮助规模化。

报告给出了一个很具体的例子：cel-robox.com 曾经是一家桌面 3D 打印机公司的域名，后来被"松鼠"接手，一边当非法流媒体站点，一边被用作 Quasar RAT 远程木马的命令控制服务器。这个组织收购的域名里，还出现过通用电气、宝洁、索尼 PlayStation 周边工具的痕迹，以及一个失败的连锁超市并购项目域名。报告把其中至少 3.1 万个恶意样本与这套基础设施关联起来。

过期域名的问题在于"继承"。搜索引擎排名、旧链接、邮件信誉、残留流量，甚至白名单记录，都随着域名易主而转移。安全产品对老域名更宽容，攻击者正是利用这一点，花真金白银买历史，让恶意行为看起来像正常流量。Infoblox 提醒，域名的年龄和信誉不再是可以依赖的安全信号，一个刚易主的旧域名突然活跃，本身就值得警惕。