微软阻止了云端有史以来规模最大的DDoS攻击

Windows 操作系统开发商微软周一表示，10 月 24 日在其云端检测到的 DDoS 拒绝服务攻击已被清除。

根据微软的博客，此次 DDoS 攻击的目标是澳大利亚的一个终端，其流量达到每秒 15.72 太比特 (Tbps)，数据包发送量接近每秒 36.4 亿个 (pps)。

此次攻击的源头被 trac一个名为 AISURU 的 TurboMirai 级物联网 (IoT) 僵尸网络。安全公司 Krebson 发现，该僵尸网络已经入侵美国互联网服务提供商 AT&T、Verizon 和 Comcast 近一年之久。 

微软 没有透露dent，但证实其自动化防御系统在造成任何重大损失之前就阻止了攻击。

AISURU本可以发动破纪录的攻击

根据微软发布的分析，此次攻击依赖于针对特定公共 IP 地址的极高速率 UDP 洪水攻击。“此次攻击涉及针对特定公共 IP 地址的极高速率 UDP 洪水攻击，攻击源 IP 地址遍布各个地区，超过 50 万个，”Azure 安全高级产品营销经理 Sean Whalen 解释道。

Azure 的分析师 写道 ，他们使用了最少的源欺骗和随机源端口，以简化 trac，并使 ISP 能够有效地实施缓解措施。

AISURU利用美国及其他国家/地区住宅互联网服务提供商（ISP）中被dent家庭路由器、摄像头和数字录像机（DVR）系统进行攻击。齐安信XLab估计，该僵尸网络控制着近30万台受感染的设备。 

KrebsOnSecurity 的研究人员指出：“Aisuru 的所有者不断扫描互联网，寻找这些易受攻击的设备，并利用它们进行分布式拒绝服务 (DDoS) 攻击，这些攻击会用大量的垃圾流量淹没目标服务器，使其瘫痪。”

美国人工智能运维和技术公司Netscout还发现，AISURU的客户群体受到限制，以规避政府、军方和执法部门的调查。观察到的大多数攻击都与在线游戏平台有关，这些平台的高流量可能会对其他网络造成附带干扰。

Netscout工程师罗兰·多宾斯推测道：“出站和跨站DDoS攻击的破坏性可能与入站攻击一样大。我们现在面临的情况是，互联网服务提供商经常会收到来自其网络的每秒数太比特以上的出站攻击，这可能会导致运营问题。”

Azure 的 Whalen 还提到，该僵尸网络会进行凭证dent、人工智能驱动的网络抓取、垃圾邮件、 网络钓鱼，并运营一个dent代理服务，攻击流量超过 20 Tbps。

AISURU 僵尸网络截至 2025 年造成的损害

5月份，网络安全博客KrebsOnSecurity报道了一次接近历史最高纪录的6.35 Tbps攻击，该攻击被谷歌的Project Shield成功拦截。随后几个月，AISURU发动了一次11 Tbps的攻击，打破了纪录。到9月下旬，攻击总量已超过22 Tbps。 

该僵尸网络向一台专门用于测量极端 DDoS 流量的服务器发送了 29.6 Tbps 的垃圾数据 报道 安全记者 Brian Krebs 10 月 6 日的 

布里斯班 Global Secure Layer (GSL) 的首席安全工程师 Steven Ferguson 表示，支持超过 50,000 台 Minecraft 服务器的 DDoS 防护服务 TCPShield 在 10 月 8 日遭受了超过 15 Tbps 的垃圾数据攻击。 

弗格森说：“这导致迈阿密外港连续数周严重拥堵，这一点已通过他们的天气地图公开显示。”

此次攻击导致上游供应商OVH位于迈阿密的端口严重拥堵，迫使该公司不得不终止TCPShield的服务。不过，他透露，目前网络已全面受到GSL安全服务的保护，但这项订阅服务对于规模较小的互联网服务提供商来说可能预算有限。

尽管 DDoS攻击 主要针对在线游戏网络，但其产生的恶意流量也会影响周边地区的其他服务和网络连接。大多数组织缺乏抵御此类攻击的资源，因为它们缺乏能够保护自身免受攻击和损害的专门缓解工具。

微软的披露紧随Netscout对Eleven11（又名RapperBot）的报道之后。Eleven11是另一个TurboMirai级别的物联网僵尸网络。据估计，从2月下旬到8月，Eleven11发起了大约3600次DDoS攻击。

Eleven11 的部分命令与控制 (C2) 服务器注册在“.libre”顶级域名 (TLD) 下，该域名是 OpenNIC 的一部分，OpenNIC 是一个dent 于 ICANN 的替代 DNS 根。恶意软件分析还显示，该僵尸网络使用了 ICANN 通用顶级域名（.live 和 .info），并且 C2 服务器 IP 地址在记录中进行了加密。 

Netscout 引用了 2024 年的样本，表明 Eleven11 的源代码已经成熟，可以使用域名而不是硬编码的 IP 地址动态地重新配置 C2 基础设施。