Infoblox отслеживает около 1,7 млн китайскоязычных сайтов с нелегальным азартным контентом, и часть этой серой массы оказалась не просто мусорным вебом: казино-домены используют как прикрытие для C2-инфраструктуры и распространения вредоносов. Для русскоязычных SOC-команд и администраторов это неприятный сигнал: тикет про «сотрудник ходил на сомнительный сайт» может быть не HR-историей, а входом в расследование по APT.
О докладе Infoblox сообщает The Register. Компания просит индустрию безопасности перестать автоматически списывать китайскоязычные казино и adult-сайты в категорию нарушений корпоративной политики. По словам Зака Эдвардса, штатного исследователя угроз Infoblox, такие площадки долго оставались на периферии внимания, потому что картина слишком грязная и запутанная: однотипные шаблоны, постоянная смена доменов, нелегальные ставки, мошеннические схемы и реальная инфраструктура атак в одном котле.
Большая часть таких сайтов выглядит как низкокачественный онлайн-казино-клон: знакомые кнопки, шаблонные промо, китайский язык, минимум доверия и максимум визуального шума. Многие, по данным Infoblox, действительно работают как нелегальные казино и зарабатывают на математическом преимуществе площадки. Другие переходят в откровенное мошенничество: посетитель делает ставки, иногда даже «выигрывает», но вывести деньги не может. Infoblox называет такой формат scam gambling, или «scambling».
Проблема в том, что рядом с этим мусорным слоем живет куда более опасная активность. Infoblox связывает часть доменов с PeckBirdy — скриптовым фреймворком, который, по данным исследователей, с 2023 года используют группы, ориентированные на интересы Китая. Сценарий выглядит буднично: злоумышленники внедряют скрипты на скомпрометированные или подконтрольные gambling-сайты, затем показывают пользователю фальшивую страницу обновления ПО и подталкивают к загрузке malware. Trend Micro описывала PeckBirdy еще в январе 2026 года.
Infoblox приводит и более тревожную метрику: чуть больше 3% корпоративных клиентов компании резолвили хотя бы один C2-домен PeckBirdy. Это не значит, что у всех была компрометация, но сам факт сетевого обращения к такой инфраструктуре уже должен поднимать бровь у аналитика. Особенно если домен на первый взгляд похож на очередное казино, куда кто-то зашел «по личным делам» в рабочее время.
Отдельный слой истории — хостинг. По данным Infoblox, инфраструктура, связанная с такими доменами, продолжает использовать крупных американских провайдеров: Amazon, Microsoft, Cloudflare и Google. В отчете это объясняют в том числе «отмыванием инфраструктуры»: преступные операторы получают доступ к облачным ресурсам через украденные аккаунты или посредников, а затем продают их дальше клиентам с сомнительными задачами. В источнике упоминается Funnull — хостинговая компания, которую ранее связывали с арендой IP-адресов у AWS и Microsoft и передачей этих ресурсов участникам нелегальных схем.
Фон тоже не делает историю спокойнее. В июльском отчете Управления ООН по наркотикам и преступности за 2026 год говорилось, что разрозненные преступные синдикаты все чаще используют общую инфраструктуру для киберпреступлений. Там же оценивались потери от онлайн-мошенничества в Восточной Азии, Юго-Восточной Азии, Австралии и Новой Зеландии за 2025 год: от $88,3 млрд до $114,1 млрд. Нелегальные казино в этой картине выглядят не как маргинальный шум, а как удобная витрина для денег, трафика и технического прикрытия.
Для защитников главный вывод простой и неприятный: казино-домены нельзя закрывать в SIEM или EDR только пометкой «нарушение acceptable use policy». Да, в большинстве случаев это действительно будет сотрудник, который пошел туда, куда не надо. Но именно на такую усталость аналитиков и рассчитывают операторы PeckBirdy: домен достаточно подозрительный, чтобы его стыдно обсуждать с бизнесом, но достаточно «понятный», чтобы быстро закрыть инцидент без проверки полезной нагрузки, редиректов и сетевых связей.
Практический минимум для SOC — не относиться к китайскоязычным gambling- и adult-доменам как к однородной категории. Нужны отдельные правила для повторяющихся обращений, проверка DNS-цепочек, анализ скриптов, корреляция с известными C2-индикаторами и внимательность к доменам, которые внезапно живут на облачной инфраструктуре крупных провайдеров. Для бизнеса это еще один аргумент в пользу нормальной DNS-телеметрии и процесса triage, где «похоже на мусорный сайт» не равно «не угроза».
Казино-домены хороши для атакующих именно своей скучной правдоподобностью: они выглядят грязно, однотипно и почти всегда объяснимо. Если защитные команды продолжат относиться к ним как к цифровому эквиваленту прогулов, такие площадки останутся удобным слоем маскировки для C2, мошенничества и инфраструктурного арбитража между криминалом и легальными облаками.
