Hacker Beli Domain Kedaluwarsa untuk Sebar Malware dan Penipuan

Domain internet yang sudah kedaluwarsa ternyata dapat menjadi aset berharga bagi pelaku kejahatan siber. Bukan karena nama domainnya semata, melainkan karena domain tersebut masih membawa reputasi, lalu lintas pengunjung, backlink, serta berbagai jejak digital dari pemilik sebelumnya.

Kondisi inilah yang dimanfaatkan kelompok peretas untuk menjalankan berbagai skema berbahaya, mulai dari penipuan, perjudian online ilegal, pembajakan siaran olahraga hingga penyebaran malware.

Perusahaan intelijen ancaman DNS, Infoblox, mengungkap bahwa fenomena tersebut terjadi dalam skala besar. Dalam laporan terbarunya, perusahaan tersebut menemukan sekitar 50.400 domain kedaluwarsa yang didaftarkan kembali setiap hari pada paruh pertama 2026 hanya di kategori generic top-level domain (gTLD), seperti .com.

Jika domain negara atau country code top-level domain (ccTLD) ikut dihitung, jumlahnya meningkat menjadi sekitar 65.000 domain per hari. Angka tersebut setara dengan hampir 20 persen dari seluruh pendaftaran domain baru setiap hari.

Dengan kata lain, sekitar satu dari lima domain yang baru didaftarkan sebenarnya bukan domain baru. Domain tersebut merupakan nama lama yang kembali muncul dan diambil alih oleh pemilik baru.

Infoblox menyebut domain semacam ini sebagai dropcatch domain. Istilah tersebut merujuk pada domain yang masa registrasinya telah berakhir, kemudian kembali tersedia untuk didaftarkan dan segera diamankan oleh pihak lain. Masalahnya, tidak semua pihak yang memburu domain tersebut memiliki tujuan bisnis yang sah.

Mengapa Domain Kedaluwarsa Menarik bagi Hacker?

Ketika sebuah domain benar-benar baru didaftarkan, domain tersebut belum memiliki banyak reputasi di internet. Mesin pencari, sistem keamanan, dan layanan reputasi digital biasanya belum memiliki cukup informasi untuk menilai apakah domain tersebut dapat dipercaya.

Situasinya berbeda dengan domain yang telah aktif selama bertahun-tahun. Sebuah domain lama mungkin sudah memiliki backlink dari berbagai situs, muncul dalam hasil pencarian, menerima ribuan atau bahkan jutaan kunjungan, serta memiliki reputasi yang terbentuk selama bertahun-tahun.

Jejak digital tersebut dapat ikut “diwariskan” ketika domain berpindah tangan. Infoblox menjelaskan, domain kedaluwarsa dapat menjadi menarik sekaligus berbahaya karena membawa reputasi dan koneksi dari kehidupan sebelumnya. Peneliti keamanan, produk keamanan, hingga algoritma berbasis reputasi bisa saja menilai domain tersebut lebih positif dibandingkan domain yang baru saja dibuat.

Pelaku ancaman memahami kelemahan tersebut dan menggunakannya sebagai keuntungan. 

Mereka tidak harus membangun reputasi sebuah domain dari nol. Sebaliknya, mereka cukup membeli domain lama yang sudah memiliki reputasi, kemudian mengubah fungsinya menjadi bagian dari infrastruktur kejahatan siber.

Di tingkat TLD, .net dan .xyz tercatat sebagai dua ekstensi yang paling banyak digunakan dalam aktivitas dropcatch, bahkan melampaui .com yang berada di posisi ketiga.

Ekstensi lain yang juga banyak ditemukan adalah .org, .vip, .online, .store, .site, .app, dan .shop. Sejumlah registrar yang banyak digunakan dalam proses tersebut antara lain GoDaddy, Namecheap, dan DropCatch.com.

Cara Kerja Perburuan Domain Kedaluwarsa

Domain tidak langsung tersedia untuk siapa pun begitu masa registrasinya berakhir. Dalam banyak kasus, pemilik lama masih mendapatkan kesempatan untuk memperpanjang domain selama periode tertentu. Jika masa tenggang tersebut terlewati, domain akhirnya dilepas dan kembali masuk ke pasar.

Pada titik inilah layanan dropcatch menjadi penting.

Layanan tersebut memantau domain yang mendekati masa penghapusan dari registri. Ketika domain akhirnya tersedia, sistem otomatis berusaha mendaftarkannya atas nama pelanggan yang sebelumnya melakukan backorder. Jika hanya satu pihak yang menginginkan domain tersebut, prosesnya relatif sederhana. Namun, jika beberapa orang atau perusahaan mengincar domain yang sama, domain tersebut dapat masuk ke lelang.

Pihak dengan tawaran tertinggi kemudian mendapatkan domain tersebut.

DropCatch.com bahkan menyebut sekitar 60.000 hingga 85.000 domain .com dan .net masuk ke dalam pasar “Daily Drop” setiap hari. Persaingan di pasar tersebut sangat ketat. Algoritma komputer dapat mendeteksi waktu persis ketika domain dilepas dan kemudian mengirimkan ratusan permintaan pendaftaran secara beruntun.

Praktik tersebut pada dasarnya merupakan bagian dari industri perdagangan domain yang sah. Investor dapat membeli domain lama untuk kemudian dijual kembali dengan harga lebih tinggi. Perusahaan keamanan juga dapat mengambil alih domain tertentu untuk mencegahnya digunakan oleh pihak berbahaya. Namun, masalah muncul ketika domain yang memiliki sejarah dan reputasi baik justru jatuh ke tangan pelaku kejahatan.

Sable Squirrel Habiskan Hampir Rp110 Miliar

Salah satu contoh paling mencolok adalah kelompok yang oleh Infoblox dijuluki Sable Squirrel. Kelompok tersebut diperkirakan telah menghabiskan hampir 7 juta dolar AS, atau sekitar Rp110 miliar, untuk membeli domain kedaluwarsa.

Investasi tersebut bukan sekadar untuk mengoleksi nama domain. Sable Squirrel menggunakan domain yang diperoleh untuk membangun ekosistem kriminal yang mencakup streaming olahraga ilegal, promosi perjudian online, hingga infrastruktur malware.

Menurut Infoblox, uang yang dikeluarkan kelompok tersebut memberikan akses terhadap domain dengan riwayat registrasi yang panjang, backlink, lalu lintas lama, serta sinyal reputasi yang masih dianggap sebagai indikator kepercayaan oleh sejumlah sistem keamanan.

Jejak operasi Sable Squirrel mengarah kuat ke Vietnam. Infrastruktur kelompok tersebut juga memiliki banyak kemiripan dengan Xoi Lac TV, jaringan streaming olahraga ilegal yang dibongkar oleh otoritas Vietnam pada Maret 2026.

Infoblox memperkirakan Sable Squirrel menguasai lebih dari 10.000 domain. Sebagian besar domain tersebut menjadi tulang punggung operasi pembajakan siaran olahraga di Asia. Jaringannya menggunakan sejumlah merek, termasuk Xoilac, Cakhia, 90phut, Socolive, dan MiTom.

Platform streaming tersebut digunakan untuk menarik dan mempertahankan pengunjung. Setelah pengguna datang untuk menonton pertandingan, mereka kemudian dapat diarahkan ke layanan perjudian seperti VSBet, ColaScore, dan 8xbet.

Streaming Ilegal Menjadi Pintu Masuk Perjudian

Strategi Sable Squirrel tidak berhenti pada satu situs. Promosi dilakukan melalui berbagai platform, termasuk Facebook, Instagram, Reddit, Twitch, Amazon Podcasts, kanal YouTube, hingga iklan yang dipasang pada situs lowongan pekerjaan dan komunitas yang telah diretas.

Pengguna dari Vietnam, Korea Selatan, Jepang, Taiwan, Singapura, dan Australia menjadi salah satu target operasi tersebut. Untuk mengatur siapa yang diarahkan ke situs tertentu, pelaku menggunakan Traffic Distribution System (TDS).

Teknologi ini memungkinkan operator menentukan tujuan pengunjung berdasarkan berbagai parameter. Pengguna yang dianggap sebagai target dapat diarahkan ke situs streaming atau perjudian, sedangkan bot dan sistem pemantau keamanan dapat dikirim ke halaman lain.

Teknik seperti ini membuat aktivitas berbahaya menjadi lebih sulit dideteksi. Sable Squirrel juga diketahui menyebarkan aplikasi Android untuk ColaScore dan VSBet melalui Google Play Store. Beberapa aplikasi tersebut didistribusikan menggunakan akun pengembang yang diduga telah dikompromikan.

Infoblox menemukan bahwa ketika salah satu akun ditangguhkan, akun lain dapat muncul untuk mendistribusikan aplikasi serupa. Hal tersebut menunjukkan bahwa operasi tersebut tidak bergantung pada satu akun atau satu infrastruktur saja.

Puluhan Ribu Malware Terhubung ke Infrastruktur

Ancaman Sable Squirrel menjadi semakin serius karena infrastruktur yang digunakan untuk streaming dan perjudian juga berkaitan dengan aktivitas malware. Infoblox menemukan lebih dari 31.000 sampel malware yang berkomunikasi dengan infrastruktur milik kelompok tersebut.

Malware yang teridentifikasi mencakup Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT, dan njRAT. Peneliti juga menemukan artefak yang memiliki karakteristik ransomware HiddenTear. Sebagian domain yang digunakan untuk streaming bahkan berfungsi sebagai server command-and-control (C2).

Server C2 merupakan bagian penting dalam banyak serangan malware karena digunakan untuk berkomunikasi dengan perangkat korban dan mengirim atau menerima instruksi. Yang membuat aktivitas ini sulit dikenali adalah domain yang sama tetap dapat menampilkan konten streaming olahraga kepada pengunjung biasa.

Dengan demikian, sebuah situs terlihat seperti layanan streaming ilegal, tetapi di balik layar dapat menjalankan fungsi yang jauh lebih berbahaya. Xoi Lac TV sendiri telah muncul sejak 2016. Namun, konfigurasi C2 malware pertama pada domain yang terkait dengan Sable Squirrel baru ditemukan pada November 2025.

Temuan tersebut menunjukkan adanya perubahan dalam operasi kelompok tersebut. Infrastruktur yang awalnya digunakan untuk streaming ilegal dan perjudian kemudian berkembang menjadi bagian dari ekosistem malware. Sable Squirrel diyakini mulai membeli domain kedaluwarsa sejak sekitar Juni 2023.

Memakai Dua Jalur Domain

Infoblox menemukan bahwa Sable Squirrel menggunakan model domain dua jalur. Jalur pertama adalah membeli domain kedaluwarsa melalui lelang di layanan seperti DropCatch.com, GoDaddy, Namecheap, dan Dynadot.

Tujuannya jelas: memperoleh domain yang sudah memiliki riwayat, backlink, lalu lintas, dan reputasi.

Jalur kedua adalah mendaftarkan domain baru yang menyerupai nama tertentu untuk membangun jaringan streaming. Beberapa domain lama yang disebut dalam penelitian Infoblox antara lain healthymagination[.]com, maxfactor-international[.]com, krogeralbertsons[.]com, snsystems[.]com, rezilion[.]com, dan cel-robox[.]com.

Salah satu contoh paling jelas adalah cel-robox[.]com.

Domain yang sebelumnya berkaitan dengan perusahaan printer 3D tersebut kemudian digunakan Sable Squirrel sebagai situs streaming ilegal sekaligus server C2 untuk Quasar RAT. Artinya, satu domain dapat menjalankan dua fungsi sekaligus: menarik pengunjung melalui konten streaming dan menjalankan aktivitas malware di balik layar.

Sektor yang diketahui mengakses domain C2 tersebut juga cukup luas, mulai dari pendidikan, teknologi dan konsultasi, pemerintahan, kesehatan hingga perbankan.

Domain Bisa Langsung “Dihidupkan” untuk Serangan

Kecepatan perubahan fungsi domain kedaluwarsa juga menjadi perhatian. Infoblox menemukan bahwa sekitar 24 persen dropcatch domain yang diamati mulai aktif pada hari yang sama setelah didaftarkan kembali. Sebanyak 76 persen aktif dalam tujuh hari, sementara 94 persen sudah digunakan dalam waktu dua minggu.

Angka tersebut memperlihatkan bahwa pelaku tidak membutuhkan waktu lama untuk mengubah domain lama menjadi bagian dari operasi mereka. Keuntungan terbesar yang mereka dapatkan adalah reputasi dan lalu lintas yang sudah tersedia.

Dengan kata lain, pelaku tidak perlu menunggu mesin pencari mengenali domain baru, membangun backlink, atau mencari pengunjung dari awal.

Teknik Cloaking Menyembunyikan Situs Perjudian

Setelah berhasil menarik pengunjung melalui situs olahraga, Sable Squirrel menggunakan teknik redirect dan cloaking untuk mengarahkan pengguna ke platform perjudian. Salah satu domain yang disebut dalam penelitian adalah 6789x[.]site.

Sistem tersebut dirancang agar pengguna yang sesuai dengan target diarahkan ke layanan taruhan, sementara bot, peneliti keamanan, atau pengunjung yang dianggap tidak relevan dikirim ke halaman lain. Teknik ini membantu menyembunyikan halaman perjudian dari pemeriksaan otomatis.

Infoblox menggambarkan strategi tersebut sebagai upaya membeli reputasi domain, menghubungkannya dengan mesin streaming dan perjudian, kemudian memanfaatkan sebagian domain yang sama sebagai infrastruktur malware.

Jadi, yang dibeli Sable Squirrel sebenarnya bukan sekadar alamat internet.

Mereka membeli waktu dan kepercayaan. Domain lama sudah memiliki sejarah, pengunjung, backlink, serta reputasi. Semua aset digital tersebut dapat digunakan sebagai modal awal untuk menjalankan operasi kriminal.

Sable Squirrel Bukan Satu-satunya

Fenomena penyalahgunaan domain kedaluwarsa ternyata tidak hanya dilakukan Sable Squirrel. Infoblox juga mengidentifikasi kelompok lain yang bertindak sebagai “scavenger” atau pemulung digital. Kelompok-kelompok tersebut tidak selalu meretas situs secara langsung. Mereka justru membeli domain yang sudah kedaluwarsa dan memanfaatkan lalu lintas yang masih mengalir dari aktivitas pemilik sebelumnya.

Setelah mendapatkan domain, mereka menyisipkan konten atau mengarahkan pengunjung ke layanan lain untuk mendapatkan keuntungan. Salah satunya adalah Stuffy Squirrel, yang aktif setidaknya sejak 2020 dan mengendalikan lebih dari 500 domain.

Kelompok ini menggunakan TDS dan JavaScript berbahaya untuk mengarahkan pengunjung ke jaringan iklan afiliasi. Sistem tersebut dapat menampilkan iklan pop-under maupun notifikasi push yang tidak diinginkan. Ada pula Shady Squirrel, yang aktif setidaknya sejak Juli 2023 dan mengendalikan lebih dari 700 domain.

Kelompok ini mengarahkan lalu lintas kepada initial access broker, pelaku seperti SocGholish, penipuan dukungan teknis, serta jaringan pemasaran afiliasi. Sementara itu, Swiping Squirrel telah aktif setidaknya sejak 2022 dan mengendalikan lebih dari 3.000 domain.

Kelompok tersebut menjual lalu lintas yang diperoleh melalui domain kedaluwarsa kepada platform iklan zero-click. Lalu lintas tersebut selanjutnya dapat dijual kembali dan dimanfaatkan untuk penipuan maupun malware.

Ancaman yang Sering Tidak Terlihat

Kasus Sable Squirrel dan kelompok-kelompok lainnya memperlihatkan bahwa ancaman siber tidak selalu dimulai dari situs baru yang terlihat mencurigakan. Sebuah domain dengan sejarah panjang justru dapat menjadi alat yang lebih efektif karena telah memiliki reputasi dan jejak digital.

Masalah tersebut juga memperlihatkan kelemahan pendekatan keamanan yang terlalu mengandalkan usia dan reputasi sebuah domain. Domain yang selama bertahun-tahun dianggap sah belum tentu tetap aman setelah berpindah tangan.

Begitu sebuah domain kedaluwarsa dan didaftarkan kembali oleh pihak berbeda, sejarah pemilikannya harus menjadi salah satu faktor yang diperhatikan oleh sistem keamanan. Bagi pengguna internet, perubahan tersebut memang sulit terlihat secara langsung. Situs yang tampak seperti layanan streaming, portal komunitas, atau halaman biasa dapat saja telah berubah fungsi setelah domainnya berpindah tangan.

Karena itu, domain lama tidak otomatis berarti aman.

Bagi perusahaan dan pengelola situs, kasus ini juga menjadi pengingat pentingnya mengelola domain yang sudah tidak digunakan. Domain yang dibiarkan kedaluwarsa dapat dimanfaatkan pihak lain untuk meniru identitas lama, menerima lalu lintas yang masih tersisa, atau bahkan mengeksploitasi jejak digital yang ditinggalkan pemilik sebelumnya.

Pada akhirnya, pasar domain kedaluwarsa telah berubah menjadi arena baru yang menarik perhatian pelaku kejahatan siber. Sable Squirrel menunjukkan bagaimana sebuah kelompok dapat mengeluarkan jutaan dolar untuk membeli aset digital yang secara sekilas tampak tidak berbahaya.

Namun, yang sebenarnya mereka beli adalah reputasi, lalu lintas, backlink, dan kepercayaan yang telah dibangun selama bertahun-tahun. Dari sana, sebuah domain lama dapat diubah menjadi pintu masuk menuju perjudian ilegal, penipuan, pembajakan konten, hingga malware.

Ancaman tersebut menunjukkan bahwa di dunia digital, riwayat sebuah domain bisa sama berharganya dengan nama domain itu sendiri. Dan ketika riwayat tersebut jatuh ke tangan yang salah, domain yang pernah dipercaya dapat berubah menjadi senjata untuk menjangkau korban dalam skala besar.