Una botnet di proxy residenziali è un gruppo di dispositivi compromessi che inoltra il traffico Internet attraverso normali connessioni consumer, facendo sembrare che il traffico provenga da case reali invece che da data center o da infrastrutture note degli attaccanti. I dispositivi infetti possono essere telefoni, router, PC, apparecchi IoT o sistemi embedded che possono eseguire software proxy in background.
Questo è importante perché gli IP residenziali sono più difficili da bloccare e possono aggirare semplici controlli di reputazione, geofencing e filtri antifrode. Gli attaccanti usano queste botnet per nascondere attività di scanning, credential stuffing, scraping, frodi pubblicitarie e altri abusi dietro origini di rete "normali". I difensori cercano processi proxy insoliti, connessioni in uscita inattese, un volume di traffico elevato da dispositivi a basso consumo e l'uso ripetuto degli stessi IP consumer per molte sessioni. Una correzione tempestiva delle patch, meccanismi di aggiornamento affidabili, l'irrobustimento dei dispositivi e il monitoraggio della rete riducono la probabilità che un dispositivo venga reclutato nell'infrastruttura proxy.