Aisuru-Botnet: Anatomie eines DDoS-Rekordangriffs mit 29,7 Tbps

Zusammenfassung

Die DDoS-Bedrohungslandschaft hat sich im 3. Quartal 2025 grundlegend verändert. Ein vom Mirai abgeleitetes Botnet namens Aisuru – wegen seiner verbesserten Angriffsgenerierung als 'TurboMirai' klassifiziert – führte den größten jemals aufgezeichneten volumetrischen DDoS-Angriff aus: 29,7 Terabit pro Sekunde über 69 Sekunden, mit Spitzenwerten von 14,1 Milliarden Paketen pro Sekunde. Diese Zahlen sind keine theoretischen Projektionen, sondern beobachtete, gemessene und in Produktionsumgebungen abgewehrte Angriffe.

Besonders besorgniserregend an Aisuru ist seine Effizienz. Klassische Botnets benötigten enorme Gerätezahlen, um nennenswerten Datenverkehr zu erzeugen. Die TurboMirai-Architektur von Aisuru verändert diese Gleichung drastisch und ermöglicht Terabit-Angriffe aus geschätzt 1 bis 4 Millionen kompromittierten IoT-Geräten – ein Bruchteil dessen, was ältere Botnets für vergleichbare Leistung benötigt hätten. Dieser Effizienzgewinn stellt einen strukturellen Wandel im Bedrohungsmodell dar, den Sicherheitsteams berücksichtigen müssen.

Diese Analyse bietet eine umfassende Untersuchung der technischen Architektur, Infektionsvektoren und Angriffsmethodik von Aisuru. Vor allem aber skizziert sie die Verteidigungsstrategien, die zum Schutz von Unternehmensinfrastrukturen gegen Angriffe erforderlich sind, die in weniger als einer Minute ablaufen und keinerlei Zeit für manuelles Eingreifen lassen. Das Zeitalter der unter einer Minute dauernden Multi-Terabit-Angriffe hat begonnen.

Überblick über die Bedrohung

Aisuru trat im August 2024 als relativ unbekanntes Botnet in Erscheinung, entwickelte sich aber rasch zu dem, was Sicherheitsforscher heute als 'Apex der Botnets' bezeichnen. Das Verständnis seiner Merkmale ist entscheidend für eine wirksame Verteidigung:

Infektionsvektoren & Verbreitung

Die Wachstumskurve von Aisuru zeigt, wie moderne Botnets durch opportunistische Ausnutzung rasch skalieren. Die Betreiber kombinieren klassische IoT-Kompromittierungstechniken – Telnet-Credential-Missbrauch und CVE-Ausnutzung – mit raffinierteren Supply-Chain-Angriffen. Dieser mehrgleisige Ansatz sichert die kontinuierliche Rekrutierung neuer Geräte, selbst wenn Verteidiger infizierte Systeme erkennen und bereinigen.

Der Totolink-Supply-Chain-Vorfall im April 2025 markierte einen Wendepunkt. Durch das Eindringen in den Firmware-Update-Server und das Anpassen der Upgrade-URL auf eine bösartige Payload verwandelten die Angreifer ein routinemäßiges Sicherheitsupdate in einen Infektionsvektor. Jeder Totolink-Router, der ein Standard-Firmware-Update durchführte, wurde unwissentlich Teil des Botnets. Innerhalb weniger Wochen brachte dieser einzige Angriffsvektor über 100.000 neue Knoten in die Aisuru-Infrastruktur.

Die Betreiber pflegen ihren Gerätebestand durch aktive Schwachstellenforschung und schnelle Integration neuer Exploits. Sobald neue CVEs offengelegt werden – insbesondere bei Consumer-Routern, IP-Kameras und DVR-Systemen – werden sie von den Aisuru-Betreibern zügig waffentechnisch nutzbar gemacht. Dieses Operationstempo sorgt dafür, dass das Botnet seine Infrastruktur kontinuierlich erneuert und bereinigte Geräte durch neu kompromittierte ersetzt.

Kategorien kompromittierter Geräte

Die Knoten des Aisuru-Botnets umfassen mehrere Kategorien von Consumer- und Small-Business-Netzwerkgeräten:

Angriffsmerkmale

Technische Weiterentwicklung (März 2025)

Im März 2025 veröffentlichten die Aisuru-Betreiber bedeutende technische Updates der Botnet-Malware, was die laufenden Entwicklungsinvestitionen verdeutlicht:

Mitigationsstrategien für Unternehmen

Die Verteidigung gegen Angriffe der Aisuru-Klasse erfordert einen grundlegenden Wandel von reaktiver zu proaktiver, automatisierter Abwehr. Klassische On-Demand-DDoS-Mitigationsdienste, die manuell aktiviert werden müssen, sind unzureichend – Angriffe laufen in weniger als einer Minute ab und lassen keine Zeit für menschliches Eingreifen.

Wie TR7 vor Bedrohungen der Aisuru-Klasse schützt

Die DDoS-Schutzplattform von TR7 ist darauf ausgelegt, die nächste Generation volumetrischer Angriffe abzuwehren:

Indicators of Compromise (IOC)-Ressourcen

Die Integration von Threat Intelligence ist für die proaktive Abwehr von Aisuru unverzichtbar. Mehrere Forschungsorganisationen pflegen IOC-Sammlungen mit Malware-Hashes, Command-and-Control-Infrastruktur und bekannten IP-Adressen von Botnet-Knoten. Diese Indikatoren sollten in Firewalls, SIEM-Plattformen und Netzwerk-Monitoring-Tools eingespielt werden, um Aisuru-bezogene Aktivitäten in Ihrem Netzwerk frühzeitig zu erkennen.

Zu den maßgeblichen IOC-Quellen gehören die technische Analyse von QiAnXin XLab, die Malware-Samples und C2-Server-Adressen dokumentiert, die Aisuru-bezogenen Datei-Hash-Sammlungen von VirusTotal sowie die vom Center for Internet Security geprüften IP-Blocklisten. Organisationen mit Threat-Intelligence-Plattformen können diese Feeds automatisiert kontinuierlich einlesen. Bei manueller Integration sind regelmäßige Updates erforderlich, da sich das Botnet weiterentwickelt.

Die IOC-basierte Erkennung hat gegen Aisuru jedoch inhärente Grenzen. Die Malware-Updates von März 2025 verdeutlichten das Engagement der Betreiber, statische Erkennung zu umgehen – neue Verschlüsselungsschemata, modifizierte Hashes und rotierte Infrastruktur entwerten bestehende Indikatoren. IOCs sind wertvoll, um bekannte Bedrohungen zu identifizieren, reichen aber als primäre Verteidigung nicht aus. Verhaltensbasierte Erkennung, die die Angriffsmuster von Aisuru erkennt, bleibt der zuverlässigere Ansatz.

Fazit

Aisuru hat neu definiert, wie DDoS-Angriffe aussehen. Die vorige Generation volumetrischer Bedrohungen wurde in Gigabit pro Sekunde gemessen; Aisuru operiert routinemäßig im Terabit-Bereich. Die vorige Generation dauerte Minuten bis Stunden; Aisuru ist in unter 69 Sekunden abgeschlossen. Die vorige Generation gab Verteidigern Zeit zu reagieren; Aisuru nicht. Das sind keine inkrementellen Verbesserungen – es ist ein struktureller Wandel der Bedrohungslandschaft, der reaktive Abwehrmechanismen obsolet macht.

Das Geschäftsmodell sorgt für Beständigkeit. Supply-Chain-Kompromittierungen ermöglichen effiziente Gerätekrekrutierung. CVE-Ausnutzung erhält den Gerätebestand, während alte Infektionen bereinigt werden. Residential-Proxy-Dienste generieren kontinuierliche Einnahmen zwischen Angriffen. Die Malware-Updates von März 2025 zeigen professionelle Entwicklungspraxis. Dies ist kein opportunistisches kriminelles Vorhaben – es ist ein organisiertes Unternehmen mit tragfähiger Ökonomie und langfristigen Infrastrukturinvestitionen.

Für Organisationen, die ihre DDoS-Bereitschaft prüfen, lautet die Frage klar: Kann Ihre Verteidigung einen Terabit-Angriff binnen Sekunden erkennen und abwehren? Falls nicht, führt ein Angriff der Aisuru-Klasse zu einem Ausfall. Die Lösung erfordert automatisierten, immer aktiven Schutz mit ausreichender Kapazität, Verhaltenserkennung, die Carpet-Bombing-Muster identifizieren kann, sowie – für eine vollständige Verteidigungshaltung – die Erkennung kompromittierter IoT-Geräte, die an ausgehenden Angriffen teilnehmen. Die Bedrohung hat sich weiterentwickelt. Die Verteidigung muss es ihr gleichtun.