Скорее всего по анализу пинкодов найденых роутерсканом. На моей практике при атаке на Tplink она долбится pin 12345670

Через несколько сек отдаёт свой пин. И в большинстве случаев т.к пароль по умолчанию не меняют он совпадает с пинкодом. Даже если пароль меняный, проги начинают долбить уже новым пином который получили от роутера. В итоге получаешь реальный меняный пароль. Времени на всё уходит примерно 20 сек. Очень хорошо отдают так же кинетики.