- A Microsoft detectou e mitigou com sucesso o maior ataque DDoS em nuvem da história, atingindo 15,72 terabits por segundo.
- O ataque originou-se da botnet de IoT da classe TurboMirai conhecida como AISURU, mirando um único ponto final na Austrália.
- Especialistas destacam o histórico de ataques recorde do AISURU, seus impactos em provedores de internet para jogos e suas conexões com outras botnets sofisticadas, como a Eleven11/RapperBot.
O ataque de negação de serviço (DDoS) detectado na nuvem da Microsoft em 24 de outubro foi derrubado, disse o desenvolvedor do sistema operacional Windows na segunda-feira.
De acordo com o blog da Microsoft, o ataque DDoS atingiu um único endpoint na Austrália e alcançou 15,72 terabits por segundo (Tbps) e quase 3,64 bilhões de pacotes por segundo (pps).
O ataque foi rastreado até uma botnet de Internet das Coisas (IoT) da classe TurboMirai conhecida como AISURU, que a empresa de segurança Krebson descobriu ter comprometido provedores de serviços de internet dos EUA AT&T, Verizon e Comcast por quase um ano.
Microsoft não revelou a identidade do alvo, mas confirmou que suas defesas automatizadas neutralizaram o ataque antes que qualquer interrupção significativa ocorresse.
A AISURU poderia ter executado ataques recorde
De acordo com a análise publicada pela Microsoft, o ataque dependia de floods UDP de taxa extremamente alta em um endereço IP público específico. “O ataque envolveu floods UDP de taxa extremamente alta direcionados a um endereço IP público específico, lançados de mais de 500.000 IPs de origem em várias regiões”, explicou Sean Whalen, Gerente Sênior de Marketing de Produto da Azure Security.
Os analistas da Azure escreveu que foram usados spoofing mínimo de origem e portas de origem aleatórias para simplificar o rastreamento e permitir que os ISPs aplicassem medidas de mitigação de forma eficaz.
A AISURU explora roteadores domésticos, câmeras e sistemas DVR comprometidos dentro de ISPs residenciais nos Estados Unidos e em outros países. A QiAnXin XLab estima que a botnet comande quase 300.000 dispositivos infectados.
“Os proprietários da Aisuru estão continuamente escaneando a Internet por esses dispositivos vulneráveis e escravizando-os para uso em ataques de negação de serviço distribuída (DDoS) que podem sobrecarregar os servidores-alvo com quantidades avassaladoras de tráfego inútil”, observaram os pesquisadores do KrebsOnSecurity.
A empresa americana de AIOps e tecnologia Netscout também encontrou a AISURU operando com um cliente restrito para evitar governo, militares e forças da lei. A maioria dos ataques observados está ligada a plataformas de jogos online, onde o tráfego de alto volume pode causar interrupção colateral para outras redes.
“Os ataques DDoS de saída e cruzamento de fronteiras podem ser tão disruptivos quanto os de entrada. Agora estamos em uma situação em que os ISPs estão rotineiramente vendo ataques de saída de terabits por segundo ou mais de suas redes que podem causar problemas operacionais”, resumiu o engenheiro da Netscout, Roland Dobbins.
Whalen, da Azure, também mencionou que a botnet facilita o preenchimento de credenciais (credential stuffing), raspagem de dados web impulsionada por IA, spam, phishing, e opera um serviço de proxy residencial, com ataques excedendo 20 Tbps.
Danos da botnet AISURU em 2025 até o momento
Em maio, o blog de cibersegurança KrebsOnSecurity relatou um ataque de 6,35 Tbps, quase um recorde, que foi contido pelo Projeto Shield do Google. A AISURU então superou o recorde com um ataque de 11 Tbps nos meses seguintes, e, até o final de setembro, os ataques haviam ultrapassado 22 Tbps.
A botnet enviou 29,6 Tbps de dados inúteis para um servidor dedicado que media tráfego DDoS extremo, de acordo com um relatório de 6 de outubro relatório do jornalista de segurança Brian Krebs.
Steven Ferguson, engenheiro de segurança principal da Global Secure Layer (GSL) em Brisbane, disse que a TCPShield, um serviço de proteção DDoS que suporta mais de 50.000 servidores de Minecraft, foi atingido com mais de 15 Tbps de dados inúteis em 8 de outubro.
“Isso estava causando sérios congestionamentos em suas portas externas em Miami por várias semanas, conforme mostrado publicamente em seu mapa meteorológico”, disse Ferguson.
O ataque causou congestionamento significativo nas portas da OVH, provedora upstream, em Miami, deixando a empresa sem outra escolha a não ser encerrar o serviço para a TCPShield. No entanto, ele revelou que a rede agora está totalmente protegida pelos serviços de segurança da GSL, uma assinatura que provedores de internet menores podem não ter orçamento para pagar.
Embora a Explorações DDoS atingem principalmente redes de jogos online, mas o volume de tráfego malicioso afeta serviços não relacionados e a conectividade na área circundante. A maioria das organizações não possui recursos para suportar tais ataques, pois carece de ferramentas especializadas de mitigação que poderiam protegê-las contra exposição e danos.
A divulgação da Microsoft ocorre na sequência do relatório da Netscout sobre a Eleven11, também conhecida como RapperBot, outra botnet IoT de classe TurboMirai. Entre o final de fevereiro e agosto, estima-se que a Eleven11 tenha lançado aproximadamente 3.600 ataques DDoS.
Alguns dos servidores de comando e controle (C2) da Eleven11 foram registrados sob o domínio de nível superior “.libre”, parte da OpenNIC, uma raiz DNS alternativa independente da ICANN. A análise de malware também revelou que a botnet usou domínios de nível superior genéricos da ICANN (.live e .info), com os IPs dos servidores C2 criptografados nos registros.
A Netscout citou amostras de 2024 mostrando que o código-fonte da Eleven11 amadureceu para reconfigurar dinamicamente a infraestrutura de C2 usando nomes de domínio em vez de IPs codificados.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
