Kimwolf-botnätets ledare "Dort" – vem är personen bakom attackerna?

I början av januari 2026 publicerade KrebsOnSecurity en granskning som avslöjade hur en säkerhetsforskare rapporterade en kritisk sårbarhet. Denna sårbarhet utnyttjades sedan för att bygga Kimwolf, världens största och mest destruktiva botnät.

Sedan dess har den person som står bakom Kimwolf – och som använder aliaset "Dort" – koordinerat en rad attacker. Bland annat har forskaren och även denna artikels författare utsatts för DDoS-attacker, doxxningar och massiva e-postöverbelastningar. I ett uppmärksammat fall ledde Dorts handlingar till att en SWAT-helikopter skickades till forskarens bostad.

Genom offentligt tillgänglig information går det att dra vissa slutsatser om vem Dort är. En doxxningsrapport från 2020 hävdade att Dort var en kanadensisk tonåring (född augusti 2003) som tidigare använt aliasen "CPacket" och "M1ce".

En sökning på användarnamnet CPacket på den öppna källkodsplattformen OSINT Industries visar att det finns en GitHub-profil under namnet Dort och CPacket. Denna profil skapades 2017 och är kopplad till e-postadressen [email protected].

Från Minecraft till cyberbrottslighet

Cyberintelligensföretaget Intel 471 rapporterar att e-postadressen [email protected] användes mellan 2015 och 2019 för att registrera konton på flera cyberbrottsforum, inklusive Nulled (användarnamn "Uubuntuu") och Cracked (användarnamn "Dorted"). Båda kontona skapades från samma IP-adress hos den kanadensiska internetleverantören Rogers Canada (99.241.112.24).

Dort var dessutom en mycket aktiv spelare i Minecraft och blev känd för sin mjukvara "Dortware", som hjälpte spelare att fuska i spelet. Över tid utvecklades Dorts verksamhet från att hacka Minecraft till att möjliggöra betydligt allvarligare brott.

Ett annat alias som användes av Dort var DortDev, vilket var aktivt i mars 2022 på chattservern för den ökända cyberbrottsgruppen LAPSUS$. Dort marknadsförde då två tjänster: en för att skapa engångs-e-postadresser och en annan kallad "Dortsolver", som kunde kringgå olika CAPTCHA-tjänster – ett vanligt sätt att förhindra automatiserad kontoregistrering.

Båda tjänsterna annonserades 2022 på SIM Land, en Telegram-kanal som fokuserar på SIM-kortsswapning och kontostöld. Cyberintelligensföretaget Flashpoint har indexerat inlägg från Dort på SIM Land från 2022. I dessa inlägg framgår det att Dort utvecklade tjänsterna tillsammans med en annan hacker som använde aliaset "Qoft".

"I legit just work with Jacob," sa Qoft 2022 i ett svar till en annan användare, och syftade på sin affärspartner Dort.

I samma konversation skryter Qoft om att de två tillsammans hade stulit mer än 250 000 dollar i form av Microsoft Xbox Game Pass-konton. De hade utvecklat ett program som massgenererade Game Pass-identiteter med hjälp av stulna betalkortsuppgifter.

Affärspartnern Jacob identifierad

Brottsspårningstjänsten Constella Intelligence har funnit att lösenordet till e-postadressen [email protected] återanvändes på endast en annan adress: [email protected]. Enligt den tidigare doxxningsrapporten var Dort född augusti 2003 (8/03).

En sökning på e-postadressen [email protected] via DomainTools visar att den användes 2015 för att registrera flera Minecraft-relaterade domäner. Dessa tillhörde en person vid namn Jacob Butler i Ottawa, Kanada, och var kopplade till telefonnumret 613-909-9727.

Constella Intelligence har även funnit att e-postadressen [email protected] användes för att registrera ett konto på hackerforumet Nulled 2016. Informationen tyder på att Jacob Butler och Dort är samma person, eller åtminstone nära samarbetspartners.