Las autoridades canadienses y estadounidenses han arrestado y acusado a un residente de Ottawa de 23 años por operar presuntamente “KimWolf”, una botnet masiva de DDoS por alquiler basada en el Internet de las Cosas (IoT) que convirtió en armas más de un millón de dispositivos conectados en todo el mundo, incluidos sistemas en Alaska y en la Red de Información del Departamento de Defensa de los EE. UU. (DoDIN).

Según una denuncia penal desclasificada en el Distrito de Alaska, Jacob Butler, también conocido por el alias “Dort”, está acusado de desarrollar y administrar la botnet KimWolf como parte de una operación de DDoS como servicio que alquilaba capacidad de ataque a otros cibercriminales.

Presuntamente, KimWolf comprometió dispositivos de consumidores y pequeñas oficinas que tradicionalmente tenían cortafuegos, como marcos de fotos digitales y cámaras web, inscribiéndolos secretamente en una infraestructura de ataque distribuida globalmente.

Los investigadores afirman que la botnet se utilizó para lanzar campañas de denegación de servicio distribuido de alto volumen contra objetivos de todo el mundo, incluidos rangos de IP asociados a la DoDIN.

KimWolf está vinculada a ataques DDoS que alcanzaron picos de casi 30 Tbps, lo que la sitúa entre los eventos volumétricos más grandes registrados hasta la fecha y provocando pérdidas que, para algunas víctimas, superaron el millón de dólares.

Desmantelamiento global y incautaciones de infraestructura

Butler fue arrestado en Ottawa en virtud de una orden de extradición de EE. UU. tras una acción coordinada en la que participaron el Departamento de Justicia de EE. UU., el Servicio de Investigación Criminal de Defensa (DCIS) y socios de las fuerzas del orden canadienses.

Ahora se enfrenta a un cargo de complicidad en la intrusión informática en los Estados Unidos, que conlleva una pena máxima de 10 años de prisión en caso de condena, y la sentencia se determinará según las Directrices de Sentencias de EE. UU.

El arresto se produce tras una operación más amplia autorizada por el tribunal en marzo de 2026 que desarticuló varias botnets de DDoS de IoT de alto impacto, incluidas Aisuru, KimWolf, JackSkid y Mossad, mediante la incautación de su infraestructura de comando y control (C2).

En una acción paralela, el Distrito Central de California desclasificó órdenes de incautación contra 45 plataformas de DDoS por alquiler que presuntamente apoyaban o colaboraban con servicios como KimWolf. Las autoridades incautaron dominios y los redirigieron a una "página de aterrizaje" de las fuerzas del orden que advierte a los visitantes sobre la ilegalidad de los ataques DDoS y los servicios de "booter".

Según los expedientes judiciales, los investigadores vincularon a Butler con la administración de KimWolf a través de una combinación de pruebas de direcciones IP, registros de cuentas en línea, rastros de pagos y transacciones, y registros de plataformas de mensajería cifradas obtenidos mediante procesos legales.

Se informa que este cuadro probatorio vincula su personaje en línea “Dort” con la infraestructura operativa central de la botnet y la actividad de alquiler de DDoS orientada al cliente.

La operación se basó en una amplia colaboración público-privada, con contribuciones de una gran variedad de proveedores de tecnología, alojamiento, seguridad y redes. Su telemetría, la gestión de abusos y la inteligencia de infraestructura fueron fundamentales para mapear el ecosistema de KimWolf, identificar nodos C2 y apoyar las incautaciones coordinadas y las acciones de "sinkholing".

Butler permanece bajo custodia en Canadá mientras los fiscales estadounidenses, dirigidos por la Fiscalía del Distrito de Alaska y apoyados por el DCIS y la oficina de campo del FBI en Anchorage, tramitan la extradición y los procedimientos adicionales en el caso en curso de KimWolf.