Microsoft detiene el mayor ataque DDoS jamás visto en la nube

El ataque de denegación de servicio (DDoS) detectado en la nube de Microsoft el 24 de octubre ha sido desactivado, dijo el desarrollador del sistema operativo Windows el lunes.

Según el blog de Microsoft, el ataque DDoS apuntó a un único punto final en Australia y alcanzó 15,72 terabits por segundo (Tbps) y casi 3.640 millones de paquetes por segundo (pps).

El ataque fue rastreado hasta una botnet de Internet de las Cosas (IoT) de clase TurboMirai conocida como AISURU, que la firma de seguridad KrebsOnSecurity descubrió que había comprometido a los proveedores de servicios de Internet estadounidenses AT&T, Verizon y Comcast durante casi un año. 

Microsoft no reveló la identidad del objetivo, pero confirmó que sus defensas automatizadas neutralizaron el ataque antes de que ocurriera cualquier interrupción significativa.

AISURU podría haber ejecutado ataques récord

Según el análisis publicado por Microsoft, el asalto se basó en inundaciones UDP de tasa extremadamente alta en una dirección IP pública específica. “El ataque involucró inundaciones UDP de tasa extremadamente alta dirigidas a una dirección IP pública específica, lanzadas desde más de 500.000 IPs de origen en varias regiones”, explicó Sean Whalen, Gerente Senior de Marketing de Producto de Azure Security.

Los analistas de Azure escribió que se utilizó un spoofing mínimo de origen y puertos de origen aleatorizados para simplificar el rastreo y permitir que los ISPs apliquen medidas de mitigación de manera efectiva.

AISURU explota routers domésticos comprometidos, cámaras y sistemas DVR dentro de ISPs residenciales en Estados Unidos y otros países. QiAnXin XLab estima que la botnet comanda casi 300.000 dispositivos infectados. 

“Los propietarios de Aisuru escanean continuamente Internet en busca de estos dispositivos vulnerables y los esclavizan para su uso en ataques de denegación de servicio distribuida (DDoS) que pueden abrumar los servidores objetivo con cantidades abrumadoras de tráfico basura”, señalaron los investigadores de KrebsOnSecurity.

La empresa estadounidense de AIOps y tecnología Netscout también encontró a AISURU operando con una clientela restringida para evitar gobiernos, militares y fuerzas del orden. La mayoría de los ataques observados están vinculados a plataformas de juegos en línea, donde el tráfico de alto volumen puede causar interrupciones colaterales a otras redes.

“Los ataques DDoS salientes y transfronterizos pueden ser tan disruptivos como los entrantes. Ahora estamos en una situación en la que los ISPs ven rutinariamente ataques salientes de más de terabits por segundo desde sus redes que pueden causar problemas operativos”, concluyó el ingeniero de Netscout, Roland Dobbins.

Whalen de Azure también mencionó que la botnet facilita el llenado de credenciales, el raspado web impulsado por IA, el spamming, phishing, y opera un servicio de proxy residencial, con ataques que superan los 20 Tbps.

Daños de la botnet AISURU en 2025 hasta ahora

En mayo, el blog de ciberseguridad KrebsOnSecurity reportó un ataque casi récord de 6,35 Tbps que fue contrarrestado por el Project Shield de Google. AISURU luego superó el récord con un asalto de 11 Tbps en los meses siguientes, y a finales de septiembre, los ataques superaron los 22 Tbps. 

La botnet envió 29,6 Tbps de datos basura a un servidor dedicado que medía tráfico DDoS extremo, según un informe del 6 de octubre informe por el periodista de seguridad Brian Krebs. 

Steven Ferguson, ingeniero de seguridad principal en Global Secure Layer (GSL) en Brisbane, dijo que TCPShield, un servicio de protección DDoS que admite más de 50.000 servidores de Minecraft, fue golpeado con más de 15 Tbps de datos basura el 8 de octubre. 

“Esto estaba causando una congestión seria en sus puertos externos de Miami durante varias semanas, mostrado públicamente a través de su mapa meteorológico”, dijo Ferguson.

El ataque causó una congestión significativa en los puertos de Miami del proveedor upstream OVH, dejando a la empresa sin más opción que terminar el servicio para TCPShield. Sin embargo, reveló que la red ahora está completamente protegida por los servicios de seguridad de GSL, una suscripción que los ISPs más pequeños pueden no tener el presupuesto para pagar.

Aunque la Explotaciones DDoS apuntan principalmente a redes de juegos en línea, el volumen de tráfico malicioso afecta a servicios no relacionados y a la conectividad en el área circundante. La mayoría de las organizaciones no tienen los recursos para resistir tales ataques porque carecen de herramientas de mitigación especializadas que podrían protegerlas de la exposición y el daño.

La divulgación de Microsoft llega a raíz del informe de Netscout sobre Eleven11, también conocido como RapperBot, otra botnet IoT de clase TurboMirai. Entre finales de febrero y agosto, se estima que Eleven11 lanzó aproximadamente 3.600 ataques DDoS.

Algunos de los servidores de comando y control (C2) de Eleven11 estaban registrados bajo el dominio de nivel superior “.libre”, parte de OpenNIC, una raíz DNS alternativa independiente de ICANN. El análisis de malware también reveló que la botnet utilizaba dominios de nivel superior genéricos de ICANN (.live y .info), con las IPs de los servidores C2 encriptadas en los registros. 

Netscout citó muestras de 2024 que mostraban que el código fuente de Eleven11 había madurado para reconfigurar dinámicamente la infraestructura C2 utilizando nombres de dominio en lugar de IPs codificadas.