Недавно исследователи раскрыли механизм, с помощью которого функционирует Android-ботнет Kimwolf. Киберпреступники закупают резидентские прокси оптом и затем осуществляют сканирование внутренней сети устройства, на котором эти прокси установлены. По информации, полученной в конце 2025 года, число зараженных устройств достигает 2 миллионов. При этом хакеры получают около 12 миллионов уникальных IP-адресов каждую неделю, что делает Kimwolf одной из крупнейших сетей подобного типа на сегодняшний день. Внутри сети злоумышленники ищут хосты с открытыми портами Android Debug Bridge (ADB), зачастую находя уязвимые устройства, такие как Android TV-приставки и стриминговые устройства, которые позволяют подключаться без авторизации. Основная деятельность Kimwolf заключается в проведении распределенных атак отказа в обслуживании (DDoS). В период с 3 по 5 декабря было зафиксировано около 3 миллионов уникальных IP-адресов, взаимодействовавших с сервером управления ботнетом, что свидетельствует о масштабах угрозы. Кроме DDoS-атак, боты также поддерживают прокси-перенаправление, RDP и управление файлами на зараженных устройствах, превращая их в инструменты для различных киберпреступлений.