微软阻止了云环境中见过的最大DDoS攻击

微软于周一表示，10月24日在其云平台上检测到的拒绝服务（DDoS）攻击已被遏制。

根据微软的博客，DDoS攻击针对澳大利亚的一个单一端点，峰值达到每秒15.72太比特（Tbps）和每秒近36.4亿个数据包（pps）。

该攻击被追溯到一个名为AISURU的TurboMirai类物联网（IoT）僵尸网络，安全公司KrebsOnSecurity发现该僵尸网络已入侵美国互联网服务提供商AT&T、Verizon和Comcast近一年。 

微软 未透露目标身份，但确认其自动防御系统在造成任何重大中断之前就已中和了攻击。

AISURU本可以执行创纪录的攻击

根据微软发布的分析，该攻击依赖于针对特定公共IP地址的极高速率UDP洪水攻击。Azure安全高级产品营销经理Sean Whalen解释说：“攻击涉及针对特定公共IP地址的极高速率UDP洪水，来自各个地区的超过50万个源IP。”

Azure的分析师 另一篇帖子中 指出，使用了最小的源欺骗和随机源端口，以简化追溯并使ISP能够有效执行缓解措施。

AISURU利用美国和其他国家住宅ISP中受感染的家用路由器、摄像头和DVR系统。QiAnXin XLab估计该僵尸网络控制了近30万台受感染设备。 

“Aisuru的所有者不断扫描互联网以寻找这些易受攻击的设备，并将它们奴役用于分布式拒绝服务（DDoS）攻击，这些攻击可以用破坏性的垃圾流量淹没目标服务器，”KrebsOnSecurity的研究人员指出。

美国AIOps和技术公司Netscout还发现AISURU在受限的客户群中运作，以避免针对政府、军事和执法部门。大多数观察到的攻击都与在线游戏平台有关，其中大流量可能导致对其他网络的附带干扰。

“出站和跨边界DDoS攻击可能与入站攻击一样具有破坏性。我们现在面临的情况是，ISP routinely看到来自其网络的每秒太比特以上的出站攻击，这会导致运营问题，”Netscout工程师Roland Dobbins总结道。

Azure的Whalen还提到，该僵尸网络促进了凭证填充、AI驱动的网页抓取、垃圾邮件发送、 网络钓鱼,并运营住宅代理服务，攻击流量超过20 Tbps。

AISURU僵尸网络迄今为止造成的损害为 2025

5月，网络安全博客KrebsOnSecurity报道了一次近纪录的6.35 Tbps攻击，该攻击被Google的Project Shield所遏制。随后几个月，AISURU以11 Tbps的攻击打破了这一纪录，到9月底，攻击流量已超过22 Tbps。 

根据10月6日 报告 由安全记者Brian Krebs发布的一份报告，该僵尸网络向专门测量极端DDoS流量的服务器发送了29.6 Tbps的垃圾数据。 

布里斯班的Global Secure Layer (GSL)的首席安全工程师Steven Ferguson表示，10月8日，支持超过50,000个Minecraft服务器的DDoS保护服务TCPShield遭受了超过15 Tbps的垃圾数据攻击。 

“这导致其迈阿密外部端口在数周内出现严重拥塞，并通过其天气地图公开显示，”Ferguson说。

该攻击导致上游提供商OVH的迈阿密端口出现严重拥塞，迫使该公司终止为TCPShield提供服务。然而，他透露该网络现在完全受到GSL安全服务的保护，这是一种订阅服务，较小的ISP可能没有预算支付。

尽管 DDoS利用 主要针对在线游戏网络，恶意流量的体积会影响周围地区的不相关服务和连接。大多数组织没有资源来抵御此类攻击，因为他们缺乏可以保护他们免受暴露和损害的专业缓解工具。

微软的披露紧随Netscout对Eleven11（也称为RapperBot）的报告之后，这是另一个TurboMirai类IoT僵尸网络。据估计，从2月下旬到8月，Eleven11发起了约3,600次DDoS攻击。

Eleven11的一些命令和控制（C2）服务器注册在“.libre”顶级域名（TLD）下，这是OpenNIC的一部分，OpenNIC是一个独立于ICANN的替代DNS根。恶意软件分析还显示，该僵尸网络使用了ICANN通用顶级域名（.live和.info），C2服务器IP在记录中进行了加密。 

Netscout引用了2024年的样本，显示Eleven11的源代码已成熟，能够使用域名而不是硬编码IP动态重新配置C2基础设施。