Microsoft、クラウド史上最大規模のDDoS攻撃を阻止

10月24日にMicrosoftのクラウドで検出されたサービス妨害（DDoS）攻撃は、Windowsオペレーティングシステム開発者が月曜日に撤去されたと発表した。

Microsoftのブログによると、DDoS攻撃はオーストラリアの単一エンドポイントを標的とし、1秒あたり15.72テラビット（Tbps）、1秒あたり約36億4000万パケット（pps）に達した。

攻撃は、セキュリティ企業KrebsOnSecurityが米国のインターネットサービスプロバイダー（ISP）であるAT&T、Verizon、Comcastをほぼ1年間侵害していたことが発見した、AISURUとして知られるTurboMiraiクラスのIoTボットネットに遡ることができる。 

Microsoft は標的の正体を明らかにしなかったが、自動防御が重大な混乱が発生する前に攻撃を無力化したことを確認した。

AISURUは記録的な攻撃を実行する可能性があった

Microsoftが発表した分析によると、攻撃は特定の公開IPアドレスに対する極めて高レートなUDPフラッドに依存していた。「攻撃は、さまざまな地域にわたる50万を超えるソースIPから起動された、特定の公開IPアドレスを標的とした極めて高レートなUDPフラッドを含んでいました」と、Azure SecurityのシニアプロダクトマーケティングマネージャーであるSean Whalenは説明した。

Azureの分析担当者 別の投稿で は、追跡を簡素化し、ISPが緩和措置を効果的に適用できるようにするために、最小限のソーススプーフィングとランダム化されたソースポートが使用されたと述べた。

AISURUは、米国およびその他の国の住宅用ISP内の侵害された家庭用ルーター、カメラ、DVRシステムを悪用する。QiAnXin XLabは、このボットネットがほぼ30万台の感染デバイスを指揮していると推定している。 

「Aisuruの所有者は、これらの脆弱なデバイスをインターネット上で継続的にスキャンし、それらを分散型サービス妨害（DDoS）攻撃で使用するために奴隷化しています。これにより、標的サーバーは機能停止するほどの大量の不要なトラフィックで押しつぶされます」と、KrebsOnSecurityの研究者は指摘した。

米国のAIOpsおよびテクノロジー企業であるNetscoutもまた、政府、軍事、法執行機関を避けるために、制限された顧客基盤でAISURUが稼働していることを発見した。観測された攻撃の大部分は、高ボリュームトラフィックが他のネットワークに二次的な混乱を引き起こす可能性のあるオンラインゲームプラットフォームに関連している。

「送信および国境を越えたDDoS攻撃は、受信攻撃と同様に混乱を引き起こす可能性があります。私たちは今、ISPが routinely、ネットワークからのテラビット/秒以上の送信攻撃により運用上の問題を引き起こしている状況にあります」と、NetscoutのエンジニアであるRoland Dobbinsは推測した。

AzureのWhalenはまた、ボットネットが資格情報のスタッフィング、AI駆動のウェブスクレイピング、スパミング、 フィッシング、および20 Tbpsを超える攻撃を行う住宅用プロキシサービスを運営していると述べた。

これまでのAISURUボットネットによる被害は 2025

5月、サイバーセキュリティブログのKrebsOnSecurityは、GoogleのProject Shieldによって阻止された6.35 Tbpsのほぼ記録的な攻撃を報告した。AISURUはその後、数ヶ月以内に11 Tbpsの攻撃で記録を更新し、9月末までに攻撃は22 Tbpsを超えた。 

ボットネットは、極端なDDoSトラフィックを測定する専用サーバーに29.6 Tbpsの不要なデータを送信した。これは10月6日の レポート セキュリティジャーナリストBrian Krebsによるもの。 

ブリスベンに拠点を置くGlobal Secure Layer（GSL）のシニアセキュリティエンジニアであるSteven Fergusonは、5万5000以上のMinecraftサーバーをサポートするDDoS保護サービスであるTCPShieldが、10月8日に15 Tbpsを超える不要なデータを受けたと述べた。 

「これは、彼らの天気マップで公に示されていたように、数週間にわたってマイアミの外部ポートで深刻な混雑を引き起こしていました」とFergusonは述べた。

攻撃は、アップストリームプロバイダーであるOVHのマイアミポートに重大な混雑を引き起こし、同社がTCPShieldのサービスを終了せざるを得なくさせた。しかし、彼はネットワークが現在GSLセキュリティサービスによって完全に保護されていることを明らかにした。これは、小規模なISPが支払う予算を持っていないかもしれないサブスクリプションである。

Although the DDoSの悪用 主にオンラインゲームネットワークを標的とするが、悪意のあるトラフィックの量は、周辺の無関係なサービスや接続性に影響を与える。ほとんどの組織は、暴露や被害から保護するための専門的な緩和ツールを欠いているため、そのような攻撃に耐えるためのリソースを持っていない。

Microsoftの開示は、TurboMiraiクラスのIoTボットネットであるEleven11（別名RapperBot）に関するNetscoutの報告に続くものである。2月下旬から8月にかけて、Eleven11は約3,600回のDDoS攻撃を開始したと推定されている。

Eleven11の一部のコマンドアンドコントロール（C2）サーバーは、ICANNとは独立した代替DNSルートであるOpenNICの一部である「.libre」トップレベルドメイン（TLD）の下に登録されていた。マルウェア分析では、ボットネットがICANNのジェネリックトップレベルドメイン（.liveおよび.info）も使用し、C2サーバーのIPがレコード内に暗号化されていることも明らかになった。 

Netscoutは、2024年のサンプルを引用し、Eleven11のソースコードがハードコードされたIPではなくドメイン名を使用してC2インフラストラクチャを動的に再構成するまでに成熟したと指摘した。