bk99.de entertain the web since 1997

bk99.de
KrebsOnSecurity · SicherheitKuratiert

6,3 Tbit/s: Was nach Mirai kam

Zusammenfassung

Brian Krebs berichtet über einen etwa 45 Sekunden langen Angriff mit mehr als 6,3 Tbit/s auf KrebsOnSecurity, den Google Project Shield abwehrte. Google ordnete ihn dem IoT-Botnetz Aisuru zu, dessen Zugang offen über Telegram vermietet wurde. Die Spur führt zu der Person hinter dem Pseudonym Forky, die nach eigenen Angaben in Brasilien lebt, an Aisuru mitgearbeitet hat und eine Beteiligung am Angriff bestreitet.

Bitrate, Paketrate und Dauer

Google maß rund 585 Millionen Pakete pro Sekunde, große UDP-Pakete an zufällige Ports. Solche Angriffe zielen laut Damian Menscher auf die Leitungen zwischen Providern, nicht auf den Webserver. Die Spitze dauerte nur etwa 45 Sekunden. Menscher hält solche Kurzangriffe für Tests oder Vorführungen für Käufer, wie bei dem sehr ähnlichen Angriff mit 6,5 Tbit/s, den Cloudflare im April 2025 meldete.

Was danach kam

Aisuru wuchs weiter. Cloudflare schätzte das Botnetz im dritten Quartal 2025 auf 1 bis 4 Millionen infizierte Geräte und wehrte in diesem Quartal 1.304 sogenannte hypervolumetrische Angriffe von Aisuru ab. Der größte erreichte 29,7 Tbit/s, ein UDP-Teppichangriff auf durchschnittlich 15.000 Zielports pro Sekunde.

Warum ein Quellcode-Leak helfen könnte

Menscher argumentiert gegen die Intuition: Würde Aisurus Code öffentlich, entstünden viele Klone, die sich die begrenzte Zahl verwundbarer Geräte teilen müssten. Jedes einzelne Botnetz wäre dann kleiner und für Schutzanbieter beherrschbar. Mirai war auch deshalb so gefährlich, weil es Konkurrenten von den Geräten verdrängte.

Ideen

  • Sehr kurze DDoS-Spitzen dienen oft als Leistungsnachweis für Käufer.
  • Hohe Paketraten belasten Router anders als reine Bitraten.
  • Aisuru verbreitete sich über Standardpasswörter und eine Zero-Day-Lücke in cnPilot-Routern.
  • Im August 2024 kostete Aisuru-Zugang zwischen 150 US-Dollar pro Tag und 600 pro Woche.
  • Beschlagnahmte Booter-Dienste tauchen oft binnen Stunden unter neuen Domains wieder auf.
  • Wer Angriffe vermietet, verkauft oft zugleich DDoS-Schutz, wie schon die Mirai-Autoren.
  • Viele kleinere Botnetze wären leichter abzuwehren als ein dominierendes.

Einsichten

  • DDoS-Rekorde zeigen auch, wie stark Abwehrkapazität bei wenigen Anbietern konzentriert ist.
  • Kurze, folgenlose Angriffe können Werbung und Vorbereitung für spätere Einsätze sein.
  • Das Muster, Angriffe zu verkaufen und Schutz anzubieten, hat sich seit 2016 kaum verändert.

Zitate

  • For most companies, this size of attack would kill them. (Damian Menscher)
  • Part of the reason Mirai was so dangerous was that it effectively took out competing botnets. (Damian Menscher)

Fakten

  • Google maß rund 585 Millionen Pakete pro Sekunde bei etwa 45 Sekunden Dauer.
  • Laut Google war es der größte Angriff, den das Unternehmen bis dahin abgewehrt hatte.
  • XLab beobachtete Aisuru erstmals im August 2024 bei einem Angriff auf eine große Spieleplattform.
  • Die Domain stresser.best, die Forky verkaufen wollte, hatte das FBI 2022 beschlagnahmt.
  • Cloudflare meldete im dritten Quartal 2025 einen Aisuru-Angriff mit 29,7 Tbit/s.

Referenzen

Bemerkungen

  • Die gemessene Bitrate lag etwa zehnmal über dem Mirai-Angriff von 2016 auf dieselbe Website.
  • Krebs verweist auf den eigenen Beitrag von 2017, der die Mirai-Autoren enttarnte.

Empfehlungen

  • Dimensioniere Schutz getrennt nach Bitrate, Paketrate und Angriffsdauer.
  • Kläre vorab mit dem Upstream-Provider, ab welcher Größe gefiltert oder umgeleitet wird.
  • Patche erreichbare Router und entferne nicht benötigte Verwaltungszugänge.

Originalbeitrag lesen

Im Webarchiv suchen

KrebsOnSecurity · 2017

Wer war Anna-Senpai? Die Spur hinter Mirai

Brian Krebs legt im bis dahin längsten Beitrag des Blogs offen, wie sich der Mirai-Autor Anna-Senpai über Forenprofile, Chats, Quellcode und Geschäftsbeziehungen mit Paras Jha in Verbindung bringen ließ. Die Spur führt durch einen Markt, in dem dieselben jungen Leute DDoS-Schutz für Minecraft-Server verkauften und zugleich mit Botnetzen angriffen. Im Dezember 2017 bekannten sich Paras Jha, Josiah White und Dalton Norman vor einem US-Bundesgericht schuldig.

KrebsOnSecurity · 2016

620 Gbit/s: Mirai kündigt eine neue DDoS-Klasse an

Brian Krebs dokumentiert im September 2016 einen DDoS-Angriff von rund 620 Gbit/s auf die eigene Seite, fast doppelt so groß wie der bis dahin größte Angriff, den Akamai gesehen hatte. Anders als frühere Rekorde kam der Verkehr nicht über Reflexion, sondern direkt von gekaperten Geräten. Brian Krebs sah Hinweise auf ein Botnetz aus Routern, IP-Kameras und Videorekordern mit schwachen oder fest eingebauten Passwörtern.

KrebsOnSecurity · 2024

BlackCat: Lösegeld kauft kein Vertrauen

Brian Krebs berichtet über Hinweise, dass Change Healthcare der Ransomware-Gruppe BlackCat rund 22 Millionen US-Dollar gezahlt hat, während der Angriff in den USA die Abgabe verschreibungspflichtiger Medikamente störte. Ein Partner der Gruppe beklagte öffentlich, um den eigenen Anteil betrogen worden zu sein, und behauptete, die gestohlenen Daten weiterhin zu besitzen. BlackCat stellte daraufhin den Betrieb ein und zeigte eine offenbar kopierte Beschlagnahmemeldung des FBI.