22-годишен мъж от щата Орегон, САЩ, е обвинен в създаване и администриране на ботнет за атаки тип „отказ от услуга“ (DDoS) под наем, известен като RapperBot. Според Министерството на правосъдието на САЩ (DoJ), обвиняемият Ийтън Фолц от град Юджийн е ръководил инфраструктурата на услугата, използвана за мащабни атаки в над 80 държави от 2021 г. насам.
Фолц е изправен пред обвинение в подпомагане на компютърни прониквания, което може да доведе до максимална присъда от 10 години затвор. На 6 август 2025 г. властите извършват обиск в дома му и изземват административен контрол върху ботнет инфраструктурата.
Какво е RapperBot?
Според DoJ, RapperBot – известен още като „Eleven Eleven Botnet“ и „CowBot“ – е ботнет, който заразява масово устройства като DVR системи и Wi-Fi рутери, превръщайки ги в инструменти за координирани DDoS атаки. Клиенти на услугата могат да изпращат команди към заразените устройства, за да насочват огромен трафик към избрани цели.
RapperBot е вдъхновен от известните Satori (fBot) и Mirai ботнети и използва брутфорс атаки през SSH или Telnet, за да завладява устройства. Първо е документиран от Fortinet през август 2022 г., като кампании са наблюдавани още през май 2021 г.
През 2023 г. RapperBot се разширява и към криптодобив – използвайки ресурсите на компрометираните устройства за нелегално „копаене“ на Monero. По-рано през 2025 г. ботнетът е свързан и с атаки срещу компании като DeepSeek и X (Twitter).
Масови атаки и щети
Разследването показва, че ботнетът е съставен от 65 000 до 95 000 заразени устройства, използвани за атаки с капацитет между 2 и 3 терабита в секунда, като най-голямата вероятно е надхвърлила 6 Tbps. Само в периода април–август 2025 г. чрез него са извършени над 370 000 атаки срещу 18 000 уникални жертви в Китай, Япония, САЩ, Ирландия и Хонконг.
Сред подпомагащите разследването компании е и Amazon Web Services (AWS), която установява, че RapperBot е заразил над 45 000 устройства в 39 държави и успява да проследи неговата командно-контролна инфраструктура.
Проследяване и арест
Фолц е идентифициран чрез IP адреси, свързани с негови акаунти в PayPal, Gmail и интернет доставчик, както и чрез над 100 онлайн търсения на термини „RapperBot“ и „Rapper Bot“.
Делото срещу него е част от международната операция Operation PowerOFF, насочена към премахване на престъпни инфраструктури за DDoS атаки под наем по целия свят.
