Butler ahora espera la extradición a los EE. UU. y se enfrenta a un cargo de complicidad en intrusiones informáticas, que conlleva una pena máxima de 10 años de prisión.

Como se detalla en los documentos judiciales, KimWolf operaba como un servicio de DDoS por alquiler y era utilizado por cibercriminales para lanzar ataques que alcanzaban casi 30 terabits por segundo, el ataque DDoS más grande divulgado públicamente en aquel momento.

Utilizando un modelo de ciberdelincuencia como servicio, Butler vendió el acceso a una red masiva de sistemas comprometidos y esclavizados (que iban desde marcos de fotos digitales y cámaras web hasta cajas de TV basadas en Android y dispositivos de streaming).

La botnet se utilizó en más de 25,000 ataques dirigidos a computadoras y servidores de todo el mundo (incluyendo direcciones IP de la Red de Información del Departamento de Defensa) y causó pérdidas financieras que superaron el millón de dólares para algunas víctimas.

Investigadores de la firma de ciberseguridad Synthient, que han estado rastreando la rápida expansión de KimWolf, señalaron que KimWolf creció hasta casi 2 millones después de comprometer dispositivos Android en ataques que explotaban vulnerabilidades en redes proxy residenciales, y que generaba aproximadamente 12 millones de direcciones IP únicas cada semana.

Mapa de calor de infecciones de Kimwolf (Synthient)

Por separado, el Distrito Central de California deselló órdenes de incautación dirigidas a 45 plataformas de DDoS por alquiler, lo que interrumpió múltiples plataformas de DDoS, incluida al menos una que colaboraba con la botnet KimWolf.

"Estas incautaciones interrumpieron ampliamente las plataformas DDoS, incluida al menos una que colaboraba con la botnet KimWolf de Butler", dijo ayer el Departamento de Justicia.

"Las autoridades de EE. UU. también incautaron registros de dominios asociados con muchos de estos servicios, redirigiéndolos a una 'página de aterrizaje' autorizada, que muestra una advertencia a los visitantes potenciales de que los servicios DDoS son ilegales".

El arresto de Butler se produce tras una operación internacional de marzo de 2026 en la que las autoridades de EE. UU., Alemania y Canadá incautaron la infraestructura de comando y control utilizada por KimWolf y tres botnets relacionadas (Aisuru, JackSkid y Mossad), que colectivamente infectaron más de 3 millones de dispositivos IoT.

Como dijo el Departamento de Justicia de EE. UU. en aquel momento, las cuatro botnets infectaron colectivamente más de 3 millones de dispositivos IoT, incluidas cámaras web, grabadores de vídeo digitales y routers Wi-Fi, muchos de ellos en los Estados Unidos.

Fuente:
BleepingComputer