I domini payload rotanti sono hostname di consegna che cambiano frequentemente durante un attacco. Invece di mantenere i download del malware o i link di reindirizzamento su un unico dominio fisso, gli operatori alternano molti domini, sottodomini o URL di breve durata, in modo che blacklist, rimozioni e sistemi di reputazione abbiano meno tempo per reagire.
Questa tecnica è importante perché aumenta la resilienza della catena di consegna. Un singolo dominio bloccato può smettere di funzionare solo per poco tempo se la campagna può passare rapidamente al successivo. Negli attacchi reali, i domini rotanti vengono spesso usati per l'hosting del payload, i redirector o le fasi iniziali del command and control. I difensori rispondono con il monitoraggio DNS e HTTP, l'analisi dei pattern di domain generation, il sinkholing automatizzato e la correlazione con altri indicatori come URL sospetti, variazioni dell'hosting e il riutilizzo ripetuto di certificati o indirizzi IP.