Streaming-Imperium: 7 Millionen Dollar für alte Domains – Malware inklusive

Streaming-Imperium für 7 Millionen Dollar: Cyberkriminelle nutzen alte Domains für illegales Streaming, Glücksspiel und Malware.

Sicherheitsforscher des US-Cybersicherheitsunternehmens Infoblox sind einem kriminellen Domain-Netzwerk auf die Spur gekommen. Den Akteur dahinter haben sie „Sable Squirrel“ getauft. Mehr als 10.000 Internetadressen sollen unter seiner Kontrolle stehen. Über 7 Millionen US-Dollar wurden für das Streaming-Imperium ausgegeben. Hinter dem illegalen Angebot steckt jedoch mehr als nur Fußballpiraterie. Einige der gealterten Domains dienen als Infrastruktur für Malware.

Für Cyberkriminelle erweisen sich alte Domains offenbar als wertvolles Kapital. Der von Infoblox als „Sable Squirrel“ bezeichnete Akteur soll Millionen in abgelaufene Internetadressen investiert haben. Hinter dem millionenschweres Streaming-Imperium steckt ein weit verzweigtes Geschäft mit illegalem Streaming, Glücksspiel und Malware.

Alte Domains, großes Geschäft

Wer eine alte Domain übernimmt, kauft nicht zwangsläufig nur eine Internetadresse. Mitunter gibt es dazu auch eine langjährige digitale Vorgeschichte, inklusive Backlinks, bestehendem Traffic und Reputation. Laut Infoblox können auch alte E-Mail-Verbindungen, gespeicherte Suchergebnisse, DNS-Einträge und Verweise aus kompromittierten Websites für Cyberkriminelle interessant sein. Diesen Umstand macht sich offenbar auch ein professionell organisiertes Cybercrime-Netzwerk aus illegalem Sport-Streaming und Glücksspiel zunutze.

Das Geschäftsmodell basiert darauf, dass eine Domain ausläuft, weil ihr Besitzer sie nicht mehr benötigt, eine Verlängerung versäumt oder das Unternehmen dahinter verschwindet. Daraufhin wird die Adresse erneut verfügbar und kann von einem neuen Interessenten registriert werden. Doch bis eine abgelaufene Domain tatsächlich wieder frei ist, durchläuft sie in der Regel mehrere Phasen. Die genauen Fristen unterscheiden sich je nach Registry und Domain-Endung. Bei vielen generischen Top-Level-Domains (gTLDs) gibt es zunächst noch eine Übergangsfrist, in der bisherige Inhaber ihre abgelaufene Domain zurückholen können. Erst danach wird sie endgültig freigegeben.

Hier kommen dann spezialisierte Dropcatch-Dienste ins Spiel. Sie überwachen Domains, die kurz vor der Löschung stehen, und versuchen automatisiert, diese unmittelbar nach ihrer Freigabe zu registrieren. Kunden können dafür bereits im Vorfeld eine Backorder aufgeben. Interessieren sich mehrere Parteien für dieselbe Domain, kann daraus eine Auktion entstehen.

Dropcatching: Jagd auf gelöschte Domains

Besonders gefragt sind dabei bestimmte Domain-Endungen. Laut Infoblox führen .net und .xyz die Liste der Top-Level-Domains (TLD) an, bei denen besonders viele abgelaufene Domains erneut registriert werden. .com folgt auf dem dritten Platz. Zu den weiteren häufig betroffenen Endungen gehören .org, .vip, .online, .store, .site, .app und .shop.

Auch bei den Registraren zeigt sich eine gewisse Konzentration. Über GoDaddy werden laut Infoblox durchschnittlich rund 5.246 Dropcatch-Domains pro Tag neu registriert. Namecheap kommt auf etwa 4.385, DropCatch.com auf rund 3.568 Domains täglich. Dropcatching ist zunächst ein legitimes Geschäft. Problematisch wird es erst, wenn Kriminelle gezielt nach Domains mit einer für sie wertvollen Vorgeschichte suchen.

Sable Squirrel: Millionen für das Streaming-Imperium

Infoblox hat den hinter dem weit verzweigten Netzwerk aus illegalem Sport-Streaming und Glücksspiel vermuteten Akteur auf den Namen „Sable Squirrel“ getauft. Laut der Analyse der Sicherheitsforscher kontrolliert das Streaming-Imperium mehr als 10.000 Domains. Ein erheblicher Teil davon gehört dabei zu einem großen Netzwerk für illegales Sport-Streaming. Zugleich kam zutage, dass einige der Domains als Kommandoinfrastruktur für Schadsoftware dienen.

Der Akteur sucht dabei gezielt nach digitalen Adressen mit einer wertvollen Vorgeschichte. Darunter befinden sich ehemalige Domains von Medienunternehmen, gemeinnützigen Organisationen, staatlichen und kommunalen Initiativen, Marken, Hochschulen und Sportorganisationen. Für die Beschaffung dieser digitalen Altlasten soll der Betreiber tief in die Tasche gegriffen haben. Infoblox schätzt die bisherigen Ausgaben für die Dropcatch-Domains auf mehr als 7 Millionen US-Dollar. Nach Einschätzung des Sicherheitsunternehmens handelt es sich dabei um die bisher größte Summe, die es einem einzelnen Akteur für den Kauf abgelaufener Domains zuordnen konnte. Auch The Hacker News hat über die Recherche berichtet.

Streaming-Imperium: Werbung, TDS und Wettangebote

Das Streaming-Geschäft wird dabei über ein weit verzweigtes Werbe- und Verteilungsnetzwerk mit Besuchern versorgt. Laut Infoblox wurden die Marken unter anderem über Facebook, Instagram, Reddit, Twitch, Amazon Podcasts und eigene YouTube-Kanäle beworben. Hinzu kamen Anzeigen auf kompromittierten Stellenanzeigen- und Community-Websites. Über ein Traffic Distribution System (TDS) wurden Nutzer gezielt auf die illegalen Streaming-Angebote weitergeleitet. Betroffen waren laut Analyse unter anderem User in Vietnam, Südkorea, Japan, Taiwan, Singapur und Australien.

Hinter den Weiterleitungen steckt zudem ein ausgeklügeltes Filtersystem. Laut Infoblox werden menschliche Nutzer gezielt auf die gewünschten Wettangebote weitergeleitet, während Bots und andere nicht relevante Anfragen in Sackgassen enden. So bleibt die dahinterliegende Plattform vor neugierigen Blicken verborgen.

Auch Android-Nutzer gerieten dabei ins Visier. Infoblox entdeckte Apps für die Angebote ColaScore und VSBet, die über den Google Play Store und offenbar kompromittierte Entwicklerkonten verbreitet wurden. Nach der Sperrung eines Kontos tauchten laut Infoblox weitere Konten mit denselben Apps auf.

430.000 Dollar für 160 Domains

Infoblox untersuchte rund 160 der erworbenen Domains einzeln. Für diese Adressen wurden insgesamt mehr als 430.000 US-Dollar bezahlt. Aus diesen Daten leiteten die Sicherheitsforscher die Schätzung von mehr als sieben Millionen Dollar für das gesamte Dropcatch-Portfolio ab. Die meisten der nachvollziehbaren Käufe liefen über GoDaddy und DropCatch, während Namecheap und Dynadot eine geringere Rolle spielten.

Rund 24 Prozent der untersuchten Adressen gingen bereits am Tag des Erwerbs in Betrieb. Drei Viertel waren innerhalb einer Woche aktiv, 94 Prozent innerhalb von zwei Wochen.

Vom Fußball-Stream zum Glücksspiel

Die eigentliche Geldmaschine hinter dem Streaming-Imperium ist laut Infoblox ein umfangreiches Angebot für illegales Sport-Streaming. Zu den beobachteten Marken zählen unter anderem Xoilac, Cakhia, 90phut, Socolive und MiTom. Die Seiten erscheinen auf den ersten Blick wie gewöhnliche Streaming-Angebote. Sie bieten Live-Fußball, Spielpläne, Chats, Spiegelserver und mobile Angebote. Laut Infoblox ist jedoch das Streaming ein Mittel, um Besucher anzulocken.

Dahinter steckt ein Netzwerk aus Glücksspielwerbung, dubiosen Umleitungen und weiteren kommerziellen Angeboten. Genannt werden unter anderem Marken wie VSBet, ColaScore und 8xbet. Die Infrastruktur weist auf den vietnamesischen Markt hin mit Verbindungen zu chinesisch-, indonesisch- und russischsprachigen Kampagnen.

Streaming und Malware: Doppelfunktion der Infrastruktur

Bei einem Blick auf die technische Infrastruktur identifizierte Infoblox mehr als 31.000 Malware-Samples, die mit Domains aus dem Sable-Squirrel-Netzwerk kommunizierten. Darunter befinden sich verschiedene Remote-Access-Trojaner, kurz RATs, etwa Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT und njRAT. Auch Samples mit Signaturen der HiddenTear-Ransomware wurden gefunden. Infoblox weist allerdings darauf hin, dass daraus nicht folgt, dass die untersuchten Samples tatsächlich Ransomware-Angriffe durchgeführt haben.

Ein Teil der Streaming-Domains fungiert laut Infoblox zugleich als Malware-Infrastruktur. Während auf den Adressen weiterhin Live-Streams angeboten werden, können infizierte Systeme dieselben Domains als Command-and-Control-Server (C2) kontaktieren. Damit liegen illegales Streaming und Malware-Kommunikation auf derselben technischen Infrastruktur.

Ein konkretes Beispiel liefert die Domain „cel-robox[.]com“. Laut Infoblox wurde sie von Sable Squirrel übernommen und sowohl für ein illegales Streaming-Angebot als auch als C2-Server für den Quasar RAT eingesetzt. Die Domain erfüllte damit gleichzeitig eine kommerzielle und eine kriminelle technische Funktion.

Die ersten entsprechenden Malware-C2-Konfigurationen tauchten im November 2025 auf. Im Dezember folgte eine größere Welle, bei der ungefähr 350 Domains als C2-Infrastruktur eingerichtet wurden. Insgesamt bestätigte Infoblox 405 Domains, die für diesen Zweck konfiguriert worden seien. Viele dieser Domains hatten zu diesem Zeitpunkt bereits Monate oder Jahre zuvor als Streaming-Seiten funktioniert. Somit konnten die Betreiber für jede neue Malware-Kampagne auf ein bereits etabliertes Netzwerk aus Internetadressen zurückgreifen.

Domain-Friedhof wird zum Tatort

Infoblox beschreibt im dritten Teil seiner dreiteiligen Analyse unter der Überschrift „Dropcatch Scavengers: Expired Malicious Domains Become Cash Cows“, wie Akteure gezielt abgelaufene Domains übernehmen, die zuvor von anderen Angreifern als Schad-Infrastruktur genutzt wurden. Dadurch können sie den bestehenden Traffic aus alten Infektionsketten übernehmen und Besucher anschließend auf Betrugsseiten, Glücksspielangebote oder Malware weiterleiten.

Statt selbst erst eine Infrastruktur aufzubauen und Besucher zu gewinnen, übernehmen die neuen Betreiber dabei die Hinterlassenschaften ihrer kriminellen Vorgänger. Denn wenn eine in kompromittierte Websites eingebettete Domain ausläuft, verschwinden die entsprechenden Anfragen nicht automatisch. Wer die Adresse anschließend registriert, kann den weiterhin eintreffenden Traffic für eigene Zwecke nutzen.

Infoblox bezeichnet diese Akteure deshalb als „Scavengers“ – digitale Aasfresser. Auf kompromittierten Websites können mehrere schädliche Domains eingebunden sein. Werden diese später von unterschiedlichen Akteuren übernommen, können mehrere Betreiber vom weiterhin eintreffenden Traffic derselben Infektionsketten profitieren. Daraus kann ein regelrechter Wettlauf um Opfer entstehen. So wird selbst der digitale Restverkehr längst aufgegebener Schad-Infrastrukturen zur lukrativen Beute.

Das Problem mit dem alten Vertrauen

Eine ehemals seriöse Internetadresse kann über Jahre hinweg von anderen Websites verlinkt worden sein. Möglicherweise wurde sie von einem Unternehmen, einer Universität oder einem Medienportal verwendet. Vielleicht taucht sie noch in alten Dokumenten auf. Für einen Cyberkriminellen kann diese Historie von großem Interesse sein.

Infoblox beobachtete im ersten Halbjahr 2026 durchschnittlich rund 50.400 neu registrierte Dropcatch-Domains pro Tag allein bei generischen Top-Level-Domains. Werden verschiedene Länder-Domains hinzugerechnet, steigt die Zahl auf rund 65.000 pro Tag. Bei den Top-Level-Domains (gTLDs) machte diese Kategorie nahezu 20 Prozent aller beobachteten Registrierungen aus.

Das bedeutet nicht, dass 65.000 Domains täglich kriminell genutzt werden. Dropcatching ist zunächst ein legitimer Markt. Die Zahlen zeigen jedoch, wie groß der Pool an wiederverwendbaren Internetadressen ist, aus denen sich auch Cyberkriminelle zu bedienen wissen.

Sable Squirrel setzt auf Masse statt Einzelfall

Sable Squirrel kombiniert bei seinem Streaming-Imperium laut Infoblox zwei Strategien. Zum einen werden Lookalike-Domains registriert, die sich an bekannte Streaming-Marken oder Suchbegriffe rund um Fußball orientieren. Zum anderen werden gezielt ältere Domains aufgekauft.

Die erste Variante ist kostengünstig und austauschbar. Die zweite kostet mehr, liefert dafür aber potenziell eine wertvollere digitale Vorgeschichte. Im Ergebnis entsteht so ein Domain-Imperium, das Streaming-Angebote, Weiterleitungen, Tracking, Glücksspielwerbung, CDN-Infrastruktur und Malware-Kommunikation miteinander verbindet.

Die Infrastruktur weist zudem einige auffällige Spuren auf. Infoblox fand wiederverwendete Kontaktdaten und weitere Hinweise, die auf Verbindungen zwischen den verschiedenen Angeboten hindeuten. Die untersuchten Streaming-Seiten liefen laut Analyse mit WordPress. Das aufwändig aufgebaute, millionenschwere Domain-Netzwerk setzt damit technisch offenbar auf Standardlösungen.

Behörden setzen das Netzwerk unter Druck

Auch Strafverfolgungsbehörden sind bereits auf Teile des Netzwerks aufmerksam geworden. Vietnamesische Behörden gehen laut Infoblox seit Jahren gegen die Xoilac-Struktur vor. Sie sehen darin Verbindungen zu organisiertem Verbrechen, Online-Glücksspiel und Kredithaien im Umfeld von Fußballwetten.

Anfang 2026 kam es zu Festnahmen und Beschlagnahmungen, die sich auf die Zerschlagung des Xôi-Lạc-TV-Netzwerks in Vietnam beziehen. Laut vietnamesischen Ministeriums für öffentliche Sicherheit nahmen die Behörden im Februar 2026 38 Personen fest, nahmen Durchsuchungen vor und beschlagnahmten zahlreiche Geräte. Außerdem wurden Vermögenswerte im Wert von mehr als 300 Milliarden vietnamesischen Dong beschlagnahmt bzw. sichergestellt.

Infoblox konnte die eigene technische Beobachtung mit mehreren der von Behörden genannten Marken und Domains abgleichen. Eine definitive Gleichsetzung der von Infoblox untersuchten Gruppe mit den strafrechtlich verfolgten Personen nimmt das Unternehmen allerdings nicht vor. Die Überschneidungen bei Marken, Templates und Domains seien jedoch auffällig.

Alte Domains sind die neue Beute

Das Internet vergisst bekanntlich nie. Eine Domain kann verschwinden, ihr digitaler Fußabdruck bleibt. Cyberkriminelle machen eben daraus ein Geschäft wie mit dem hier erwähnten Streaming-Imperium. Sable Squirrel ist dabei keineswegs ein Einzelfall. Infoblox identifizierte weitere „Scavengers“, die auf ähnliche Weise vom Traffic alter Schad-Infrastrukturen profitieren.