Het afgelopen jaar is er een botnet actief geworden dat inmiddels meer dan een miljoen computers en ongeveer honderdduizend websites heeft besmet, maar waarvan het onduidelijk is hoe er geld mee wordt verdiend. Dat beweert anti-virusbedrijf Avast. Het Kroxxu botnet wordt omschreven als een "zelfgenererend netwerk van wachtwoord-stelende malware" dat zich exclusief op het stelen van FTP-wachtwoorden richt.

In tegenstelling tot Gumblar en traditionele botnets, verspreidt Kroxxu zich alleen via besmette websites en niet via individuele computers. Met de gestolen FTP-wachtwoorden wordt er vervolgens een script aan websites toegevoegd. Onderzoekers denken dat de botnetbeheerder geld verdient door het verkopen van webruimte op gehackte servers, het ondersteunen van andere malware, het verkopen van gestolen inloggegevens of het gebruik van keyloggers om spam te verspreiden.

Heeft Kroxxu eenmaal een website besmet, dan blijft het gemiddeld drie maanden actief voordat het wordt opgemerkt. Volgens Avast is de malware alleen door systeembeheerders te verwijderen.