Microsoft met fin à la plus grande attaque DDoS jamais observée dans le cloud

L'attaque par déni de service (DDoS) détectée sur le cloud de Microsoft le 24 octobre a été neutralisée, a annoncé le développeur du système d'exploitation Windows lundi.

Selon le blog de Microsoft, l'attaque DDoS a ciblé un seul point de terminaison en Australie et a atteint 15,72 téraoctets par seconde (Tbps) et près de 3,64 milliards de paquets par seconde (pps).

L'attaque a été tracée jusqu'à un botnet Internet des objets (IoT) de classe TurboMirai connu sous le nom d'AISURU, que la société de sécurité Krebs on Security a découvert avoir compromis les fournisseurs de services Internet américains AT&T, Verizon et Comcast pendant près d'un an. 

Microsoft n'a pas révélé l'identité de la cible, mais a confirmé que ses défenses automatisées ont neutralisé l'attaque avant qu'aucune perturbation significative ne se produise.

AISURU aurait pu exécuter des attaques record

Selon l'analyse publiée par Microsoft, l'attaque reposait sur des inondations UDP à très haut débit sur une adresse IP publique spécifique. « L'attaque impliquait des inondations UDP à très haut débit ciblant une adresse IP publique spécifique, lancées depuis plus de 500 000 adresses IP sources dans diverses régions », a expliqué Sean Whalen, Senior Product Marketing Manager d'Azure Security.

Les analystes d'Azure a écrit que des spoofings de source minimaux et des ports de source aléatoires ont été utilisés pour simplifier la traçabilité et permettre aux FAI d'appliquer efficacement des mesures d'atténuation.

AISURU exploite les routeurs domestiques, caméras et systèmes DVR compromis au sein des FAI résidentiels aux États-Unis et dans d'autres pays. QiAnXin XLab estime que le botnet commande près de 300 000 appareils infectés. 

« Les propriétaires d'Aisuru scannent continuellement Internet à la recherche de ces appareils vulnérables et les asservissent pour les utiliser dans des attaques par déni de service distribué (DDoS) qui peuvent submerger les serveurs cibles avec des quantités écrasantes de trafic inutile », ont noté les chercheurs de KrebsOnSecurity.

L'entreprise américaine de technologie et d'AIOps Netscout a également trouvé AISURU opérant avec une clientèle restreinte pour éviter les gouvernements, l'armée et les forces de l'ordre. La majorité des attaques observées sont liées aux plateformes de jeux en ligne, où un trafic à haut volume peut causer des perturbations collatérales pour d'autres réseaux.

« Les attaques DDoS sortantes et transfrontalières peuvent être tout aussi perturbantes que les entrantes. Nous sommes désormais dans une situation où les FAI voient régulièrement des attaques sortantes dépassant le téraoctet par seconde depuis leurs réseaux, ce qui peut causer des problèmes opérationnels », a résumé l'ingénieur de Netscout, Roland Dobbins.

Whalen d'Azure a également mentionné que le botnet facilite le bourrage d'identifiants, le scraping web piloté par l'IA, le spamming, hameçonnage, et exploite un service de proxy résidentiel, avec des attaques dépassant les 20 Tbps.

Dommages du botnet AISURU en 2025 jusqu'à présent

En mai, le blog de cybersécurité KrebsOnSecurity a rapporté une attaque proche du record de 6,35 Tbps qui a été contrée par le Project Shield de Google. AISURU a ensuite battu le record avec une attaque de 11 Tbps dans les mois suivants, et à la fin septembre, les attaques avaient dépassé les 22 Tbps. 

Le botnet a envoyé 29,6 Tbps de données inutiles à un serveur dédié mesurant un trafic DDoS extrême, selon un article du 6 octobre rapport par le journaliste de sécurité Brian Krebs. 

Steven Ferguson, ingénieur principal en sécurité chez Global Secure Layer (GSL) à Brisbane, a déclaré que TCPShield, un service de protection DDoS soutenant plus de 50 000 serveurs Minecraft, a été touché par plus de 15 Tbps de données inutiles le 8 octobre. 

« Cela causait une congestion sérieuse sur leurs ports externes de Miami pendant plusieurs semaines, visible publiquement via leur carte météo », a déclaré Ferguson.

L'attaque a provoqué une congestion significative sur les ports de Miami du fournisseur en amont OVH, contraignant l'entreprise à résilier le service pour TCPShield. Cependant, il a révélé que le réseau est désormais entièrement protégé par les services de sécurité GSL, un abonnement que les petits FAI peuvent ne pas avoir le budget pour payer.

Bien que la Exploitations DDoS ciblent principalement les réseaux de jeux en ligne, mais le volume de trafic malveillant affecte les services non liés et la connectivité dans la zone environnante. La plupart des organisations n'ont pas les ressources pour résister à de telles attaques car elles manquent d'outils d'atténuation spécialisés qui pourraient les protéger contre l'exposition et les dommages.

La divulgation de Microsoft fait suite au rapport de Netscout sur Eleven11, également connu sous le nom de RapperBot, un autre botnet IoT de classe TurboMirai. Entre fin février et août, Eleven11 aurait lancé environ 3 600 attaques DDoS.

Certains serveurs de commande et de contrôle (C2) d'Eleven11 étaient enregistrés sous le domaine de premier niveau (TLD) « .libre », faisant partie d'OpenNIC, une racine DNS alternative indépendante de l'ICANN. L'analyse des logiciels malveillants a également révélé que le botnet utilisait des domaines de premier niveau génériques de l'ICANN (.live et .info), avec les adresses IP des serveurs C2 chiffrées dans les enregistrements. 

Netscout a cité des échantillons de 2024 montrant que le code source d'Eleven11 s'était maturé pour reconfigurer dynamiquement l'infrastructure C2 en utilisant des noms de domaine plutôt que des adresses IP codées en dur.