Microsoft остановила крупнейшую DDoS-атаку в истории облачных вычислений

Атака типа «отказ в обслуживании» (DDoS), обнаруженная в облаке Microsoft 24 октября, была отражена, сообщил разработчик операционной системы Windows в понедельник.

Согласно блогу Microsoft, DDoS-атака была направлена на одну конечную точку в Австралии и достигла 15,72 терабит в секунду (Тбит/с) и почти 3,64 миллиарда пакетов в секунду (pps).

Атака была прослежена до ботнета Интернета вещей (IoT) класса TurboMirai, известного как AISURU, который, как обнаружила компания KrebsonSecurity, был скомпрометирован у провайдеров интернет-услуг США AT&T, Verizon и Comcast почти год. 

Microsoft не раскрыла личность цели, но подтвердила, что ее автоматические системы защиты нейтрализовали атаку до того, как произошло какое-либо значительное нарушение.

AISURU могла выполнить атаки, побившие рекорды

Согласно анализу, опубликованному Microsoft, атака опиралась на флуды UDP с экстремально высокой скоростью на конкретный публичный IP-адрес. «Атака включала флуды UDP с экстремально высокой скоростью, направленные на конкретный публичный IP-адрес, запущенные с более чем 500 000 исходных IP-адресов из различных регионов», — объяснил старший менеджер по продуктам и маркетингу Azure Security Шон Уоллен.

Аналитики Azure написал отметили, что для упрощения трассировки и обеспечения эффективного применения провайдерами мер противодействия использовалось минимальное спуфинг-исходных адресов и случайные исходные порты.

AISURU эксплуатирует скомпрометированные домашние маршрутизаторы, камеры и системы видеорегистрации у провайдеров интернет-услуг в жилых домах в США и других странах. QiAnXin XLab оценивает, что ботнет управляет почти 300 000 зараженных устройств. 

«Владельцы Aisuru постоянно сканируют Интернет в поисках этих уязвимых устройств и порабощают их для использования в распределенных атаках типа «отказ в обслуживании» (DDoS), которые могут перегрузить целевые серверы огромным количеством мусорного трафика», — отметили исследователи KrebsOnSecurity.

Американская компания Netscout, специализирующаяся на AIOps и технологиях, также обнаружила, что AISURU работает с ограниченным кругом клиентов, чтобы избежать правительственных, военных и правоохранительных структур. Большинство наблюдаемых атак связаны с платформами онлайн-игр, где большой объем трафика может вызвать побочные нарушения для других сетей.

«Исходящие и кросс-граничные DDoS-атаки могут быть столь же разрушительными, как и входящие. Мы сейчас находимся в ситуации, когда провайдеры интернет-услуг регулярно видят исходящие атаки терабитной скорости и выше из своих сетей, которые могут вызывать операционные проблемы», — резюмировал инженер Netscout Роланд Доббинс.

Уоллен из Azure также упомянул, что ботнет облегчает подстановку учетных данных, веб-скрейпинг на базе ИИ, спам, фишинг, и управляет службой резидентных прокси, при этом атаки превышают 20 Тбит/с.

Ущерб от ботнета AISURU в 2025 на данный момент

В мае блог по кибербезопасности KrebsOnSecurity сообщил о атаке почти рекордной мощности 6,35 Тбит/с, которая была отражена проектом Google Project Shield. Затем AISURU побил рекорд атакой мощностью 11 Тбит/с в течение следующих месяцев, а к концу сентября атаки превысили 22 Тбит/с. 

Ботнет отправил 29,6 Тбит/с мусорных данных на выделенный сервер, измеряющий экстремальный DDoS-трафик, согласно отчету от 6 октября отчете опубликованному журналистом по безопасности Брайаном Кребсом. 

Стивен Фергюсон, главный инженер по безопасности в Global Secure Layer (GSL) в Брисбене, сказал, что TCPShield, служба защиты от DDoS, поддерживающая более 50 000 серверов Minecraft, подверглась атаке с более чем 15 Тбит/с мусорных данных 8 октября. 

«Это вызывало серьёзные заторы на внешних портах Майами в течение нескольких недель, что было видно на их карте погоды», — сказал Фергюсон.

Атака вызвала значительные заторы на портах провайдера OVH в Майами, вынудив компанию прекратить обслуживание TCPShield. Однако он сообщил, что сеть теперь полностью защищена сервисами безопасности GSL, подписка на которые может быть недоступна для небольших интернет-провайдеров из-за ограниченного бюджета.

Хотя DDoS-эксплойты нацелены преимущественно на онлайн-игровые сети, но объём вредоносного трафика затрагивает и несвязанные с ними сервисы и подключение в окружающем районе. Большинство организаций не имеют ресурсов для противостояния таким атакам, поскольку у них отсутствуют специализированные инструменты смягчения последствий, способные защитить их от воздействия и ущерба.

Раскрытие информации от Microsoft последовало за отчётом Netscout об Eleven11, также известном как RapperBot, ещё одном IoT-ботноте класса TurboMirai. По оценкам, с конца февраля по август Eleven11 запустил около 3600 DDoS-атак.

Некоторые серверы командования и управления (C2) Eleven11 были зарегистрированы в домене верхнего уровня «.libre», входящем в состав OpenNIC — альтернативного корня DNS, независимого от ICANN. Анализ вредоносного ПО также показал, что ботнет использовал общие домены верхнего уровня ICANN (.live и .info), при этом IP-адреса серверов C2 были зашифрованы в записях. 

Netscout привела образцы 2024 года, показывающие, что исходный код Eleven11 усовершенствовался и теперь динамически перенастраивает инфраструктуру C2, используя доменные имена, а не жёстко заданные IP-адреса.