Microsoft blocca il più grande attacco DDoS mai visto nel cloud

L'attacco DDoS (denial-of-service) rilevato sul cloud di Microsoft il 24 ottobre è stato neutralizzato, ha dichiarato lo sviluppatore del sistema operativo Windows lunedì.

Secondo il blog di Microsoft, l'assalto DDoS ha preso di mira un singolo endpoint in Australia, raggiungendo 15,72 terabit al secondo (Tbps) e quasi 3,64 miliardi di pacchetti al secondo (pps).

L'attacco è stato ricondotto a una botnet Internet of Things (IoT) di classe TurboMirai nota come AISURU, che la società di sicurezza Krebs ha scoperto aver compromesso i fornitori di servizi internet statunitensi AT&T, Verizon e Comcast per quasi un anno. 

Microsoft non ha rivelato l'identità del bersaglio, ma ha confermato che le sue difese automatizzate hanno neutralizzato l'attacco prima che si verificasse qualsiasi significativa interruzione.

AISURU avrebbe potuto eseguire attacchi che stabiliscono nuovi record

Secondo l'analisi pubblicata da Microsoft, l'assalto si è basato su inondazioni UDP a velocità estremamente elevata su un specifico indirizzo IP pubblico. «L'attacco ha coinvolto inondazioni UDP a velocità estremamente elevata mirate a un specifico indirizzo IP pubblico, lanciate da oltre 500.000 indirizzi IP di origine provenienti da varie regioni», ha spiegato Sean Whalen, Senior Product Marketing Manager di Azure Security.

Gli analisti di Azure scritto che è stato utilizzato un minimo spoofing dell'origine e porte di origine casualizzate per semplificare il tracciamento e consentire agli ISP di applicare efficacemente le misure di mitigazione.

AISURU sfrutta router domestici, telecamere e sistemi DVR compromessi all'interno di ISP residenziali negli Stati Uniti e in altri paesi. QiAnXin XLab stima che la botnet comandi quasi 300.000 dispositivi infetti. 

«I proprietari di Aisuru scansionano continuamente Internet alla ricerca di questi dispositivi vulnerabili e li asserviscono per l'uso in attacchi di negazione del servizio distribuito (DDoS) in grado di sopraffare i server bersaglio con quantità schiaccianti di traffico spazzatura», hanno notato i ricercatori di KrebsOnSecurity.

L'azienda americana di AIOps e tecnologia Netscout ha inoltre trovato AISURU in funzione con una clientela ristretta per evitare governi, militari e forze dell'ordine. La maggior parte degli attacchi osservati è collegata a piattaforme di gioco online, dove il traffico ad alto volume può causare interruzioni collaterali ad altre reti.

«Gli attacchi DDoS in uscita e transfrontalieri possono essere altrettanto disruptivi di quelli in entrata. Siamo ora in una situazione in cui gli ISP vedono regolarmente attacchi in uscita da parte delle loro reti che superano il terabit al secondo e possono causare problemi operativi», ha ipotizzato l'ingegnere di Netscout Roland Dobbins.

Whalen di Azure ha anche menzionato che la botnet facilita il credential stuffing, lo scraping web basato sull'IA, lo spamming, phishing, e gestisce un servizio di proxy residenziale, con attacchi che superano i 20 Tbps.

Danni della botnet AISURU in 2025 finora

A maggio, il blog di cybersecurity KrebsOnSecurity ha segnalato un attacco quasi record da 6,35 Tbps che è stato contrastato da Google Project Shield. AISURU ha poi superato il record con un assalto da 11 Tbps nei mesi successivi e, verso la fine di settembre, gli attacchi avevano superato i 22 Tbps. 

La botnet ha inviato 29,6 Tbps di dati spazzatura a un server dedicato che misurava il traffico DDoS estremo, secondo un articolo del 6 ottobre rapporto del giornalista di sicurezza Brian Krebs. 

Steven Ferguson, ingegnere principale della sicurezza presso Global Secure Layer (GSL) a Brisbane, ha dichiarato che TCPShield, un servizio di protezione DDoS che supporta oltre 50.000 server di Minecraft, è stato colpito con oltre 15 Tbps di dati spazzatura l'8 ottobre. 

«Questo stava causando una grave congestione sulle loro porte esterne di Miami per diverse settimane, visibile pubblicamente tramite la loro mappa meteorologica», ha detto Ferguson.

L'attacco ha causato una significativa congestione sulle porte di OVH, il provider upstream, a Miami, costringendo l'azienda a interrompere il servizio per TCPShield. Tuttavia, ha rivelato che la rete è ora completamente protetta dai servizi di sicurezza GSL, un abbonamento che gli ISP più piccoli potrebbero non permettersi.

Sebbene il Sfruttamenti DDoS prendono di mira principalmente le reti di gioco online, ma il volume del traffico malevolo influisce su servizi non correlati e sulla connettività nell'area circostante. La maggior parte delle organizzazioni non ha le risorse per resistere a tali attacchi perché mancano di strumenti di mitigazione specializzati che potrebbero proteggerle da esposizione e danni.

La divulgazione di Microsoft arriva a ruota della segnalazione di Netscout su Eleven11, noto anche come RapperBot, un'altra botnet IoT di classe TurboMirai. Tra la fine di febbraio e agosto, si stima che Eleven11 abbia lanciato circa 3.600 attacchi DDoS.

Alcuni dei server di comando e controllo (C2) di Eleven11 erano registrati sotto il dominio di primo livello (TLD) “.libre”, parte di OpenNIC, una radice DNS alternativa indipendente da ICANN. L'analisi del malware ha inoltre rivelato che la botnet utilizzava domini di primo livello generici ICANN (.live e .info), con gli IP dei server C2 crittografati nei record. 

Netscout ha citato campioni del 2024 che mostrano come il codice sorgente di Eleven11 si sia evoluto fino a riconfigurare dinamicamente l'infrastruttura C2 utilizzando nomi di dominio invece di IP hardcodati.