El Departamento de Justicia de EE.UU. desmanteló botnets de IoT como AISURU, Kimwolf, JackSkid y Mossad, con capacidad para 3 millones de dispositivos, responsables de ataques DDoS récord de 30 Tbps. Las autoridades colaboraron con empresas como Google, Cloudflare y AWS para interrumpir su infraestructura, identificando a Jacob Butler (alias Dort) como posible operador de Kimwolf. Las botnets infectaron dispositivos vulnerables, incluyendo TVs inteligentes y routers, y vendieron acceso a ciberdelincuentes.

Una botnet recientemente rastreada llamada RondoDox se ha convertido silenciosamente en una de las amenazas más preocupantes observadas en los últimos meses, combinando una colección inusualmente grande de exploits con un uso calculado de la infraestructura de internet residencial. Detectada por primera vez en mayo de 2025, la botnet comenzó a generar altos volúmenes de tráfico en honeypots de seguridad

El Departamento de Justicia de EE.UU. (DoJ) desmantela una botnet compuesta por 360.000 routers y dispositivos IoT infectados distribuidos en 163 países, que operó durante 16 años. La red proxy SocksEscort fue eliminada en una operación conjunta con Europol. La red, conocida como SocksEscort, funcionaba como un servicio proxy malicioso que permitía a los ciberdelincuentes ocultar su ubicación real al realizar actividades ilícitas en línea. Según las autoridades, los dispositivos infectados —en su mayoría routers domésticos y dispositivos IoT— fueron utilizados para facilitar ataques cibernéticos, fraudes y otras actividades delictivas sin que los propietarios legítimos lo supieran. La operación, liderada por el DoJ en colaboración con Europol y otras agencias internacionales, logró interrumpir la infraestructura de la botnet, impidiendo que los atacantes siguieran controlando los dispositivos comprometidos. Aunque no se han revelado detalles sobre los responsables, las autoridades continúan investigando el caso. 

Investigadores descubren un botnet de 14.000 routers (mayoría Asus) infectados con el malware KadNap, que persiste tras reiniciar y se usa como proxies anónimos para ciberdelincuencia.

Se ha descubierto una nueva campaña de troyanos botnet, denominada OCRFix, que combina trucos de ingeniería social con una infraestructura de comandos basada en blockchain para construir silenciosamente una red de máquinas comprometidas. La campaña fusiona la conocida técnica de phishing ClickFix con EtherHiding —un método que almacena instrucciones del atacante directamente en una blockchain pública, haciendo que los desmantelamientos sean casi imposibles—. 

Un ataque sofisticado está dirigiéndose a sistemas Windows Server utilizando Prometei, una botnet vinculada a Rusia que ha estado activa desde 2016. Este malware multifuncional combina la minería de criptomonedas, el robo de credenciales y capacidades de control remoto para mantener acceso a largo plazo en sistemas comprometidos. La botnet Prometei se infiltra en los sistemas explotando credenciales débiles o predeterminadas a través del Protocolo de Escritorio Remoto (RDP). 

GoBruteforcer es una botnet modular escrita en Go que ataca servidores Linux mediante fuerza bruta en servicios como FTP, MySQL y phpMyAdmin, aprovechando credenciales débiles generadas por IA en configuraciones predeterminadas. Afecta a más de 50.000 servidores, con motivación económica al robar criptomonedas, y evita objetivos de alto riesgo como el DoD de EE.UU. o AWS. Los expertos advierten sobre la necesidad de autenticación robusta para evitar estos ataques. 

En tan solo tres meses, la masiva botnet Aisuru lanzó más de 1,300 ataques de denegación de servicio distribuido (DDoS), uno de los cuales estableció un nuevo récord con un pico de 29.7 terabits por segundo

 Los jugadores multijugador en diferentes plataformas han experimentado interrupciones e interrupciones de servicio simultáneamente. La comunidad de ciberseguridad sospecha de un importante ataque distribuido de denegación de servicio (DDoS) de Aisuru, una botnet masiva que impulsa el tráfico récord.

Familias de malware como Rhadamanthys Stealer, Venom RAT y la botnet Elysium han sido desarticuladas en el marco de una operación coordinada de las fuerzas del orden liderada por Europol y Eurojust.

Actores de amenaza cibernética han activado campañas de explotación contra una vulnerabilidad no parcheada (CVE-2025-1316, CVSS v4: 9.3) en cámaras de red Edimax IC-7100, siendo empleada como vector para desplegar variantes de la botnet Mirai desde mayo de 2024. Este defecto crítico, clasificado como una vulnerabilidad de inyección de comandos a nivel de sistema operativo, permite la ejecución remota de código (RCE) mediante solicitudes maliciosamente estructuradas.

Investigadores del equipo de respuesta a emergencias Deepfield de Nokia fueron los que detectaron la red de bots después de que se hicieran varios ataques "hipervolumétricos" a finales de febrero. Un ataque volumétrico se define como aquel que se encarga de saturar el ancho de banda de las redes con cantidades masivas de datos. Jérôme Meyes, investigador de seguridad de Nokia, indicó que la mayoría de direcciones IP de estos ataques no tenían historial previo de ataques previos.

Se ha descubierto (otra) variante de la botnet Mirai que explota una falla de seguridad recientemente descubierta que afecta a los routers industriales Four-Faith desde principios de noviembre de 2024 con el objetivo de realizar ataques distribuidos de denegación de servicio (DDoS).

Un actor de amenazas, apodado como Matrix ha sido vinculado a una campaña de ataques de Denegación de Servicio Distribuido (DDoS) a gran escala. Estos ataques aprovechan vulnerabilidades y configuraciones incorrectas en dispositivos del Internet de las Cosas (IoT), permitiendo su incorporación a una botnet para actividades disruptivas.