Una proxy-botnet è una rete di sistemi compromessi o noleggiati che agiscono come relay per altro traffico. Invece di connettersi direttamente a un obiettivo, un attaccante instrada le connessioni attraverso molti nodi intermedi, che possono nascondere la vera origine, distribuire il carico e rendere più difficile il blocco. Nella sicurezza informatica, questo è importante perché il server visibile è spesso solo l'ultimo salto, non la vera infrastruttura dell'operatore.
Gli attaccanti usano le proxy-botnet per mascherare il traffico di comando e controllo, inoltrare dati sottratti e supportare spam, attacchi alle credenziali o la distribuzione di malware. I relay possono essere server cloud, istanze VPS usa e getta o dispositivi infetti, e possono ruotare rapidamente per eludere il rilevamento. I difensori cercano catene di hop ripetute, connessioni in uscita insolite dopo l'avvio di processi, modelli condivisi di certificati o DNS e traffico che assomiglia alla normale navigazione web ma si comporta come un livello di inoltro. Una proxy-botnet non è il payload stesso; è il sistema di occultamento e trasporto che aiuta l'operazione a sopravvivere.