Microsoft stoppt den größten jemals in der Cloud gesehenen DDoS-Angriff
- Microsoft hat erfolgreich die größte jemals registrierte DDoS-Attacke gegen eine Cloud erkannt und abgewehrt, mit einer Spitzenlast von 15,72 Terabit pro Sekunde.
- Der Angriff ging von dem IoT-Botnetz vom Typ TurboMirai namens AISURU aus und zielte auf einen einzelnen Endpunkt in Australien ab.
- Experten heben die Geschichte von AISURU hervor, die durch rekordverdächtige Attacken, Auswirkungen auf Gaming-Internetanbieter und Verbindungen zu anderen ausgeklügelten Botnets wie Eleven11/RapperBot gekennzeichnet ist.
Der am 24. Oktober auf der Cloud von Microsoft entdeckte Denial-of-Service-(DDoS)-Angriff wurde abgeschaltet, wie der Entwickler des Windows-Betriebssystems am Montag mitteilte.
Laut dem Blog von Microsoft richtete sich der DDoS-Angriff gegen einen einzelnen Endpunkt in Australien und erreichte 15,72 Terabit pro Sekunde (Tbps) sowie fast 3,64 Milliarden Pakete pro Sekunde (pps).
Der Angriff wurde auf eine TurboMirai-ähnliche Internet-of-Things-(IoT)-Botnet namens AISURU zurückgeführt, das von der Sicherheitsfirma KrebsOnSecurity entdeckt wurde und fast ein Jahr lang US-Internetdienstanbieter wie AT&T, Verizon und Comcast kompromittiert hatte.
Microsoft nannte die Identität des Ziels nicht, bestätigte jedoch, dass die automatisierten Abwehrmaßnahmen den Angriff neutralisierten, bevor es zu nennenswerten Störungen kam.
AISURU hätte rekordeinende Angriffe durchführen können
Laut der von Microsoft veröffentlichten Analyse stützte sich der Angriff auf extrem hochfrequente UDP-Flutangriffe auf eine bestimmte öffentliche IP-Adresse. „Der Angriff umfasste extrem hochfrequente UDP-Flutangriffe, die auf eine bestimmte öffentliche IP-Adresse abzielten und von über 500.000 Quell-IPs aus verschiedenen Regionen ausgingen“, erklärte Sean Whalen, Senior Product Marketing Manager für Azure Security.
Die Analysten von Azure schrieb gaben an, dass nur minimale Source-Spoofing-Methoden und randomisierte Quellports verwendet wurden, um die Rückverfolgung zu vereinfachen und den Internetdienstanbietern (ISPs) die wirksame Durchsetzung von Abwehrmaßnahmen zu ermöglichen.
AISURU nutzt kompromittierte Heimrouter, Kameras und DVR-Systeme innerhalb von Wohn-ISPs in den Vereinigten Staaten und anderen Ländern. QiAnXin XLab schätzt, dass das Botnet fast 300.000 infizierte Geräte kommandiert.
„Die Besitzer von Aisuru scannen kontinuierlich das Internet nach diesen verwundbaren Geräten und versklaven sie für den Einsatz bei Distributed-Denial-of-Service-(DDoS)-Angriffen, die Zielserver mit vernichtenden Mengen an Junk-Traffic überfluten können“, stellten Forscher von KrebsOnSecurity fest.
Das amerikanische AIOps- und Technologieunternehmen Netscout fand ebenfalls heraus, dass AISURU mit einer eingeschränkten Kundschaft operiert, um Regierungs-, Militär- und Polizeieinrichtungen zu vermeiden. Die überwiegende Mehrheit der beobachteten Angriffe ist mit Online-Gaming-Plattformen verbunden, bei denen ein hohes Verkehrsaufkommen zu Kollateralschäden für andere Netzwerke führen kann.
„Ausgehende und grenzüberschreitende DDoS-Angriffe können genauso störend sein wie eingehende. Wir befinden uns nun in einer Situation, in der ISPs routinemäßig ausgehende Angriffe mit Terabit pro Sekunde und mehr von ihren Netzwerken sehen, die operative Probleme verursachen können“, fasste Netscout-Ingenieur Roland Dobbins zusammen.
Whalen von Azure erwähnte auch, dass das Botnet Credential Stuffing, KI-gesteuertes Web-Scraping, Spamming, Phishing, betreibt und einen Residential-Proxy-Service anbietet, wobei die Angriffe 20 Tbps überschreiten.
Schäden durch das AISURU-Botnet in 2025 bisher
Im Mai berichtete das Cybersicherheitsblog KrebsOnSecurity über einen beinahe rekordeinenden Angriff mit 6,35 Tbps, der von Googles Project Shield abgewehrt wurde. AISURU übertraf diesen Rekord dann mit einem 11-Tbps-Angriff in den folgenden Monaten, und bis Ende September übertrafen die Angriffe 22 Tbps.
Das Botnet sendete 29,6 Tbps an Junk-Daten an einen dedizierten Server, der extremen DDoS-Traffic maß, laut einem Bericht vom 6. Oktober Bericht von dem Sicherheitsjournalisten Brian Krebs.
Steven Ferguson, Principal Security Engineer bei Global Secure Layer (GSL) in Brisbane, sagte, TCPShield, ein DDoS-Schutzdienst, der mehr als 50.000 Minecraft-Server unterstützt, sei am 8. Oktober mit mehr als 15 Tbps an Junk-Daten getroffen worden.
„Dies verursachte mehrere Wochen lang ernsthafte Engpässe an ihren externen Ports in Miami, was öffentlich über ihre Wetterkarte sichtbar wurde“, sagte Ferguson.
Der Angriff verursachte erhebliche Engpässe an den Miami-Ports des Upstream-Anbieters OVH, was das Unternehmen dazu zwang, den Dienst für TCPShield zu beenden. Er enthüllte jedoch, dass das Netzwerk jetzt vollständig durch GSL-Sicherheitsdienste geschützt ist, ein Abonnement, das sich kleinere ISPs möglicherweise nicht leisten können.
Obwohl die DDoS-Exploits zielen hauptsächlich auf Online-Gaming-Netzwerke ab, wobei das Volumen des bösartigen Traffics auch unverbundene Dienste und die Konnektivität in der Umgebung beeinträchtigt. Die meisten Organisationen verfügen nicht über die Ressourcen, um solchen Angriffen standzuhalten, da ihnen spezialisierte Abwehrtools fehlen, die sie vor Exposition und Schäden schützen könnten.
Die Offenlegung von Microsoft erfolgt auf den Bericht von Netscout über Eleven11, auch bekannt als RapperBot, ein weiteres IoT-Botnet der TurboMirai-Klasse. Zwischen Ende Februar und August wird geschätzt, dass Eleven11 etwa 3.600 DDoS-Angriffe gestartet hat.
Einige der Command-and-Control-(C2)-Server von Eleven11 waren unter der Top-Level-Domain (TLD) „.libre“ registriert, die Teil von OpenNIC ist, einer alternativen DNS-Wurzel, die unabhängig von ICANN ist. Die Malware-Analyse ergab auch, dass das Botnet ICANN-generic-TLDs (.live und .info) verwendete, wobei die C2-Server-IPs in den Datensätzen verschlüsselt waren.
Netscout zitierte Proben aus 2024, die zeigten, dass der Quellcode von Eleven11 ausgereift war, um die C2-Infrastruktur dynamisch unter Verwendung von Domainnamen anstelle von fest codierten IPs neu zu konfigurieren.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
