Aisuruボットネット：記録的な29.7 Tbps DDoS攻撃の解剖

エグゼクティブサマリー

2025年第3四半期、DDoS脅威ランドスケープは根本的に変化しました。Aisuruとして知られるMirai派生のボットネット、攻撃生成能力の強化により「TurboMirai」に分類されるこのボットネットは、観測史上最大のボリューム型DDoS攻撃を実行しました。29.7テラビット/秒を69秒間持続し、毎秒141億パケットというピークに達しました。これらの数字は理論上の推計ではなく、本番環境で観測・計測・緩和された攻撃です。

Aisuruを特に憂慮すべき存在にしているのは、その効率性です。従来のボットネットは、意味のあるトラフィック量を生成するために膨大なデバイス数を必要としました。AisuruのTurboMiraiアーキテクチャはこの方程式を劇的に変え、推定100万～400万台の侵害IoT機器からテラビット級の攻撃を可能にします。これはレガシーボットネットが同等の出力に必要としていたデバイス数の一部に過ぎません。この効率の向上は、セキュリティチームが考慮すべき脅威モデルの構造的転換を意味します。

本分析は、Aisuruの技術アーキテクチャ、感染ベクター、攻撃手法の包括的検証を提供します。さらに重要なのは、1分未満で完了し、手動介入の時間を残さない攻撃から企業インフラを守るために必要な防御戦略を示すことです。1分未満・複数テラビット級の攻撃時代が到来しました。

脅威の概要

Aisuruは2024年8月に比較的知られていないボットネットとして登場しましたが、急速に進化し、セキュリティ研究者が現在「ボットネットの頂点」と呼ぶ存在となりました。その特徴を理解することは有効な防御を構築するために不可欠です：

感染ベクターと拡散

Aisuruの成長軌跡は、現代のボットネットが日和見的な悪用を通じていかに急速に拡大するかを示しています。ボットネット運用者は、Telnet資格情報の悪用やCVE悪用といった伝統的なIoT侵害手法と、より高度なサプライチェーン攻撃を組み合わせます。この多面的アプローチにより、防御側が感染システムを特定・修復しても継続的なデバイス獲得が確保されます。

2025年4月のTotolinkサプライチェーン侵害は転換点となりました。攻撃者はファームウェア更新サーバーを侵害し、アップグレードURLを改ざんして悪意あるペイロードを配布することで、日常的なセキュリティ更新を感染ベクターへと変えました。標準のファームウェア更新を行うあらゆるTotolinkルーターが、知らずにボットネットに加入したのです。この単一の攻撃ベクターだけで、数週間以内にAisuruのインフラに10万を超える新ノードが追加されました。

運用者は活発な脆弱性研究と迅速なエクスプロイト統合を通じてデバイスプールを維持しています。家庭用ルーター、IPカメラ、DVRシステムに影響する新たなCVEが公表されると、Aisuru運用者は素早く兵器化します。この運用テンポにより、ボットネットは継続的にインフラを刷新し、クリーンアップされたデバイスを新たに侵害されたものに置き換えていきます。

侵害デバイスのカテゴリ

Aisuruボットネットノードは、複数カテゴリの家庭用および小規模事業所向けネットワーク機器にまたがります：

攻撃特性

技術的進化（2025年3月）

2025年3月、Aisuru運用者はボットネットマルウェアに重要な技術更新をリリースし、継続的な開発投資を実証しました：

企業の緩和戦略

Aisuruクラスの攻撃を防御するには、リアクティブからプロアクティブで自動化された防御への根本的な転換が必要です。手動起動を必要とする従来のオンデマンドDDoS緩和サービスでは不十分です ― 攻撃は1分未満で完了し、人間の介入の時間がありません。

TR7がAisuruクラスの脅威からどのように保護するか

TR7のDDoS保護プラットフォームは、次世代のボリューム型攻撃に対する防御のために設計されています：

侵害指標（IOC）リソース

脅威インテリジェンスの統合は、Aisuruに対するプロアクティブな防御に不可欠です。複数の研究機関が、マルウェアハッシュ、コマンド・アンド・コントロールインフラ、既知のボットネットノードIPアドレスを網羅するIOCコレクションを維持しています。これらの指標をファイアウォール、SIEMプラットフォーム、ネットワーク監視ツールに組み込むことで、ネットワーク上のAisuru関連活動を早期に検知できます。

最も権威あるIOC情報源には、マルウェアサンプルとC2サーバーアドレスを文書化したQiAnXin XLabの技術分析、Aisuru関連ファイルハッシュのVirusTotalコレクション、Center for Internet Securityの検証済みIPブロックリストが含まれます。脅威インテリジェンスプラットフォームを持つ組織では、これらのフィードを継続的に取り込むよう自動化できます。手動統合の場合はボットネットの進化に応じた定期的な更新が必要です。

ただしIOCベースの検知には、Aisuruに対する固有の限界があります。2025年3月のマルウェア更新は、静的検知を回避しようとする運用者の意志を示しました ― 新しい暗号化スキーム、改変ハッシュ、ローテーションされたインフラが既存指標を無効化します。IOCは既知の脅威を識別するために有用ですが、主要な防御としては不十分です。Aisuruの攻撃パターンを認識できる行動検知が、より信頼できるアプローチであり続けます。

結論

AisuruはDDoS攻撃の姿を再定義しました。前世代のボリューム型脅威は秒間ギガビットで計測されました ― Aisuruは日常的に秒間テラビットで動作します。前世代は数分から数時間継続しました ― Aisuruは69秒未満で完了します。前世代は防御側に対応時間を与えました ― Aisuruは与えません。これらは段階的な改善ではなく、リアクティブな防御を陳腐化させる脅威ランドスケープの構造的変化を意味します。

ビジネスモデルが永続性を保証します。サプライチェーン侵害が効率的なデバイス獲得を提供します。CVE悪用が、古い感染が修復される中でデバイスプールを維持します。家庭用プロキシサービスが攻撃間の継続的収益を生みます。2025年3月のマルウェア更新はプロフェッショナルな開発慣行を実証しています。これは日和見的な犯罪作戦ではなく、持続可能な経済性と長期的なインフラ投資を持つ組織的な企業です。

DDoSへの備えを評価する組織にとって、問いは単純です：あなたの防御は数秒以内にテラビット級攻撃を検知・緩和できるか？答えがノーであれば、Aisuruクラスの攻撃はサービス停止を引き起こします。解決策には、十分な能力を備えた自動・常時稼働の保護、カーペットボンビングパターンを識別できる行動検知、そして ― 完全な防御態勢のため ― アウトバウンド攻撃に参加する侵害IoT機器の検知が必要です。脅威は進化しました。防御もそれに応じて進化しなければなりません。