- Microsoft는 초당 15.72테라비트에 달하는 역대 최대 규모 클라우드 DDoS 공격을 성공적으로 탐지하고 완화했습니다.
- 이 공격은 AISURU로 알려진 TurboMirai 클래스 IoT 봇넷에서 기원했으며, 오스트레일리아의 단일 엔드포인트를 표적으로 삼았습니다.
- 전문가들은 AISURU의 기록을 깨는 공격 이력, 게이밍 ISP에 미친 영향, 그리고 Eleven11/RapperBot과 같은 기타 정교한 봇넷과의 연관성을 강조합니다.
10월 24일 마이크로소프트 클라우드에서 감지된 서비스 거부(DDoS) 공격은 월요일 윈도우 운영체제 개발자가 발표한 바와 같이 차단되었습니다.
마이크로소프트의 블로그에 따르면, DDoS 공격은 오스트레일리아의 단일 엔드포인트를 표적으로 삼아 초당 15.72테라비트(Tbps) 및 초당 약 36억 4천만 패킷(pps)에 달했습니다.
이 공격은 AISURU라는 TurboMirai 클래스 사물인터넷(IoT) 봇넷에서 기원한 것으로 확인되었으며, 보안 회사 크레브슨(KrebsOnSecurity)은 이 봇넷이 거의 1년 동안 미국 인터넷 서비스 제공업체(AT&T, Verizon, Comcast)를 침해했다고 발견했습니다.
마이크로소프트 마이크로소프트는 대상의 신원을 공개하지 않았지만, 자동화된 방어 시스템이 중대한 중단이 발생하기 전에 공격을 무력화했다고 확인했습니다.
AISURU는 기록적인 공격을 실행할 수 있었습니다
마이크로소프트가 발표한 분석에 따르면, 이 공격은 특정 공개 IP 주소에 대한 극도로 높은 속도의 UDP 플러드에 의존했습니다. “이 공격은 다양한 지역의 50만 개 이상의 소스 IP에서 발사된 특정 공개 IP 주소를 표적으로 한 극도로 높은 속도의 UDP 플러드를 포함했습니다.”라고 Azure 보안의 시니어 제품 마케팅 매니저인 Sean Whalen은 설명했습니다.
Azure의 분석가들은 별도의 글에서 소스 스푸핑을 최소화하고 무작위 소스 포트를 사용하여 추적 과정을 단순화하고 ISP가 완화 조치를 효과적으로 시행할 수 있도록 했다고 밝혔습니다.
AISURU는 미국 및 기타 국가의 가정용 ISP 내의 침해된 홈 라우터, 카메라 및 DVR 시스템을 악용합니다. QiAnXin XLab은 이 봇넷이 거의 30만 개의 감염된 장치를 지휘한다고 추정합니다.
“Aisuru의 소유자들은 인터넷을 지속적으로 스캔하여 이러한 취약한 장치를 찾아 분산 서비스 거부(DDoS) 공격에 노예로 부려 표적 서버를 crippling한 양의 잡음 트래픽으로 압도합니다.”라고 KrebsOnSecurity 연구원들은 지적했습니다.
미국의 AIOps 및 기술 회사인 Netscout도 AISURU가 정부, 군사 및 법집행 기관을 피하기 위해 제한된 고객층과 함께 운영되는 것을 발견했습니다. 관찰된 공격의 대부분은 고볼륨 트래픽이 다른 네트워크에 연쇄적인 혼선을 초래할 수 있는 온라인 게임 플랫폼과 관련이 있습니다.
“송신 및 크로스 바운더리 DDoS 공격은 수신 공격만큼이나 혼란을 초래할 수 있습니다. 우리는 이제 ISP들이 네트워크에서 초당 테라비트 이상의 송신 공격을 일상적으로 목격하여 운영상의 문제를 일으키는 상황에 처해 있습니다.”라고 Netscout 엔지니어 Roland Dobbins는 추론했습니다.
Azure의 Whalen은 또한 이 봇넷이 자격 증명 스푸핑, AI 기반 웹 스크래핑, 스팸 발송, 피싱, 그리고 20 Tbps를 초과하는 공격을 수행하는 주거용 프록시 서비스를 운영한다고 밝혔습니다.
지금까지 2025의 AISURU 봇넷 피해
5월, 사이버 보안 블로그 KrebsOnSecurity는 Google의 Project Shield에 의해 저지된 6.35 Tbps의 거의 기록적인 공격을 보고했습니다. AISURU는 그 후 몇 달 이내에 11 Tbps의 공격으로 기록을 넘어섰고, 9월 말까지 공격은 22 Tbps를 초과했습니다.
봇넷은 10월 6일 보고서 보안 기자 Brian Krebs에 의해 작성된 보고서에 따르면 극단적인 DDoS 트래픽을 측정하는 전용 서버로 29.6 Tbps의 잡음 데이터를 보냈습니다.
브리즈번의 Global Secure Layer(GSL)의 수석 보안 엔지니어인 Steven Ferguson는 5만 개 이상의 마인크래프트 서버를 지원하는 DDoS 보호 서비스인 TCPShield가 10월 8일 15 Tbps 이상의 잡음 데이터를 맞았다고 말했습니다.
“이로 인해 마이애미 외부 포트에서 몇 주 동안 심각한 혼잡이 발생했으며, 이는 날씨 맵을 통해 공개적으로 확인되었습니다.”라고 Ferguson은 말했습니다.
이 공격은 상위 공급자 OVH의 마이애미 포트에 상당한 혼잡을 초래하여 회사로 하여금 TCPShield에 대한 서비스를 종료할 수밖에 없게 만들었습니다. 그러나 그는 네트워크가 이제 GSL 보안 서비스에 의해 완전히 보호되고 있다고 밝혔습니다. 이는 중소형 ISP가 지불할 예산이 없을 수 있는 구독 서비스입니다.
비록 DDoS 악용 주로 온라인 게임 네트워크를 표적으로 삼지만, 악성 트래픽의 볼륨은 주변 지역의 관련 없는 서비스 및 연결성에 영향을 미칩니다. 대부분의 조직은 노출 및 손상을 방지할 수 있는 전문적인 완화 도구가 부족하여 이러한 공격을 견딜 자원이 없습니다.
마이크로소프트의 발표는 Netscout이 또한 TurboMirai 클래스 IoT 봇넷인 Eleven11(라퍼봇으로도 알려짐)에 대한 보고에 이어진 것입니다. 2월 말부터 8월 사이, Eleven11은 약 3,600회의 DDoS 공격을 발사한 것으로 추정됩니다.
Eleven11의 일부 명령 및 제어(C2) 서버는 ICANN의 독립적인 대체 DNS 루트인 OpenNIC의 일부인 “.libre” 최상위 도메인(TLD) 아래에 등록되었습니다. 말웨어 분석은 또한 봇넷이 ICANN 일반 최상위 도메인(.live 및 .info)을 사용했으며, C2 서버 IP가 레코드에 암호화되어 있음을 밝혔습니다.
Netscout은 2024년 샘플을 인용하여 Eleven11의 소스 코드가 하드코딩된 IP 대신 도메인 이름을 사용하여 C2 인프라를 동적으로 재구성할 정도로 성숙했다고 지적했습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
