Ботнет Aisuru: октябрьские атаки привели к рекордным DDoS-нападениям

31 октября 2025 года сеть Cloudflare зафиксировала крупнейшие в этом году UDP DDoS-атаки, достигшие пика в 29.7 Тбит/с. Эти нападения были организованы быстрорастущим ботнетом Aisuru, состоящим из заражённых устройств, включая виртуальные машины публичных облаков, маршрутизаторы, межсетевые экраны и устройства интернета вещей, такие как IP-камеры. С начала октября охват ботнета резко расширился, что привело к увеличению масштаба и интенсивности атак. Телеметрия показывает, что атакам подверглись множество отраслей, однако основная тяжесть пришлась на телекоммуникационный сектор, на который пришлось 73% зафиксированной активности.

Описание

Эволюция угрозы и рекордные объёмы

Ботнет Aisuru, основанный на устройствах интернета вещей, насчитывает около 500 000 скомпрометированных узлов, причём его размер удвоился всего за четыре недели. Его операторы используют многогранную стратегию заражения, включая предполагаемый компрометацию цепочки поставок микропрограммного обеспечения, для постоянного расширения сети устройств, инфицированных вредоносным ПО Aisuru и его вариантами kitty и AIRASHI.

Основной и наиболее заметной возможностью этого ботнета является генерация DDoS-атак ранее теоретического масштаба. С мая по октябрь 2025 года объём атак вырос с 6.35 до рекордных 29.7 Тбит/с. Чтобы представить этот масштаб, достаточно сказать, что поток в 12 Тбит/с эквивалентен одновременному направлению трафика с 56 075 типичных американских домашних интернет-подключений на одну цель. Такие объёмы способны перегрузить инфраструктуру всех, кроме самых подготовленных глобальных сетевых провайдеров.

Кампания Aisuru, наблюдавшаяся Cloudflare, использует популярный метод: гиперобъёмные и ультрасложные UDP DDoS-атаки типа «ковровое бомбометание». Высоко распределённые UDP-атаки распыляли трафик на тысячи портов в секунду, пытаясь перегрузить цели потоком бесполезных неориентированных пакетов. При этом злоумышленник активно рандомизировал атрибуты пакетов, что делало точное обнаружение и нейтрализацию почти невозможными для простых систем защиты. Кроме того, атаки достигали пиковой интенсивности почти мгновенно и поддерживали её всего 30-70 секунд, что максимизировало ущерб при минимальном времени для обнаружения.

Анализ рекордной атаки 31 октября

В указанный день ботнет Aisuru начал полномасштабную скоординированную атаку, которую сеть Cloudflare зафиксировала как одну из крупнейших и наиболее продолжительных DDoS-атак, управляемых устройствами интернета вещей. В заражённый флот входили маршрутизаторы Totolink, Nexxt, Linksys, видеорегистраторы, IP-камеры, шлюзы и межсетевые экраны Zyxel, а также устройства cnPilot от Cambium Networks.

Эта UDP-атака, крупнейшая в истории на момент написания, была полностью и автономно нейтрализована системами Cloudflare. Ботнет обрушивал UDP-пакеты в среднем на 15 000 портов назначения в секунду, а пиковое значение в начальной фазе достигло 34 000 портов в секунду. Параллельно наблюдались и другие типы флуда, включая TCP SYN и TCP ACK. Некоторые атаки были направлены на отдельные IP-адреса, а другие - на целые подсети, что указывает на динамическую настройку параметров операторами.

Трафик исходил в среднем из 17 000 автономных систем (ASN) в секунду, достигнув пика в 45 000, и был нейтрализован центрами обработки данных Cloudflare в 113 странах. Ранний анализ IP-адресов показал, что 74% атакующих адресов были активны не более двух дней, что говорит о высокой текучести и неэффективности простой блокировки по IP в долгосрочной перспективе.

Растущая волна гиперобъёмных атак

Начиная с середины 2024 года Cloudflare наблюдает беспрецедентный рост масштабов гиперобъёмных DDoS-атак, преимущественно UDP «коврового бомбометания». Например, мировой рекорд по объёму вырос с 4.2 Тбит/с в октябре 2024 года до 29.7 Тбит/с в октябре 2025 года, что составляет ошеломляющие 707% годового роста. С начала 2025 года Cloudflare автономно нейтрализовал более 3300 гиперобъёмных DDoS-атак, запущенных Aisuru, - в среднем 334 атаки в месяц. В третьем квартале 2025 года количество таких атак выросло на 54% по сравнению со вторым кварталом.

Тактики, техники и процедуры (TTP)

Анализ выявил высокодеструктивный и технически продвинутый арсенал TTP. Операторы используют как минимум восемь типов флуда, включая UDP, TCP SYN и TCP ACK, каждый с настраиваемыми параметрами. Исследование ключевого образца вредоносного ПО (nx86_64.elf) показало сложную архитектуру, ориентированную на скрытность, устойчивое управление и расширенные возможности полезной нагрузки.

Для управления ботнет не использует жёстко заданные IP-адреса. Вместо этого он получает адреса центра управления из DNS TXT-записей, что делает сеть устойчивой к попыткам её обезвредить. Для дополнительного скрытия адреса обфусцируются с помощью кастомной схемы: IP конвертируется в hex, применяется операция XOR с константой 0xCAFEBABE и выполняется кодирование Base64. Наблюдаемый первоначальный DNS-запрос шёл к домену dvrxpert.tiananmensquare1989[.]su, который был заблокирован.

Вредоносное ПО использует двухуровневую систему шифрования. Внутренняя конфигурация расшифровывается с помощью жёстко заданного RC4-ключа. Все коммуникации с центром управления защищены шифрованием ChaCha20 с уникальным сеансовым ключом для каждого соединения, что исключает возможность дешифровки перехваченного трафика и осложняет анализ.

На заражённом устройстве вредоносная программа маскируется под стандартные Linux-демоны, такие как telnetd или klogd. Она также проводит активные проверки на наличие признаков песочницы или виртуализации, что позволяет ей противодействовать анализу исследователями безопасности.

Цели и возможная атрибуция

Основной удар кампаний Aisuru пришёлся на клиентов Cloudflare, использующих DNS и HTTP-сервисы, а также на некоторых других крупных интернет-провайдеров. По отраслям лидирует телекоммуникационный сектор (свыше 60% атак), за ним следуют информационные технологии и сервисы (12.7%), игровая индустрия (7.8%) и кибербезопасность (6.4%). Географически основное внимание уделялось США (76%), Китаю (10%) и Гонконгу (5%).

Точная атрибуция пока остаётся под вопросом, однако публичные отчёты указывают на группу из трёх лиц, действующих под псевдонимами Snow, Tom и Forky. В мае 2025 года Forky, идентифицированный как 21-летний житель Сан-Паулу, признал участие в разработке и продвижении ботнета, но отрицал причастность к запуску атак. Группа заявляла, что осуществляет высокодеструктивные атаки на провайдеров «ради развлечения». Использование провокационных доменных имён, сочетающих политические и откровенно сексуальные темы, скорее указывает на желание эпатировать или ввести аналитиков в заблуждение, чем на чёткую идеологическую или геополитическую мотивацию.