Impressionate! Un attacco DDoS da quasi 16 Tbps contro Azure
Microsoft ha annunciato di aver subito un attacco massiccio di tipo DDoS che ha preso di mira la piattaforma Azure: il traffico immesso ha raggiunto un picco di 15,72 terabit al secondo (Tbps) e ha coinvolto oltre 500.000 indirizzi IP distinti. L’obiettivo era un indirizzo pubblico situato in Australia e l’evento ha generato flussi UDP ad altissima intensità, arrivando a circa 3,64 miliardi di pacchetti al secondo (bpps).
L’attacco è stato attribuito al botnet denominato Aisuru botnet che rientra nella categoria “Turbo Mirai-class” delle botnet basate su IoT. Il vettore sfruttava dispositivi IoT compromessi quali router domestici e telecamere IP, prevalentemente presso ISP residenziali negli Stati Uniti e in altri Paesi. Un dettaglio rilevante è che il traffico UDP generato mostrava scarsa spoofing degli indirizzi sorgente e utilizzava porte di origine casuali, un comportamento che ha facilitato le operazioni di traceback e l’intervento dei provider.
Questo evento non è isolato: pochi mesi prima, sempre Aisuru aveva generato un attacco da 22,2 Tbps e 10,6 miliardi di pacchetti al secondo, mitigato da Cloudflare. Inoltre, la divisione di ricerca XLab della società cinese Qi’anxin aveva già attribuito al botnet un’operatività su circa 300.000 bot con capacità intorno agli 11,5 Tbps. Un meccanismo di propagazione particolarmente significativo è stato l’attacco alla catena di aggiornamento firmware di un produttore (TotoLink) che ha comportato l’infezione di circa 100.000 dispositivi in un’unica operazione.
Le implicazioni per la supply-chain IoT e infrastrutturale
Dal punto di vista dell’ecosistema IT, l’evento mette in evidenza come la fusione tra dispositivi IoT di consumo e infrastrutture cloud di classe enterprise possa generare un effetto domino critico. Dispositivi domestici compromessi sono stati impiegati come vettore per un attacco diretto contro una grande piattaforma cloud. La scelta di traffico UDP non spoofato massivamente e con porte casuali suggerisce una fase pilota ben orchestrata e consapevole della gestione del rischio da parte dell’attaccante.
Per i provider cloud e gli operatori di rete la lezione è duplice. Da un lato occorre rafforzare le difese DDoS — in particolare la capacità di mitigazione a livelli oltre il “terabit” — dall’altro è necessario monitorare attivamente il fenomeno dei dispositivi IoT compromessi utilizzati come arma indiretta. In questo caso Azure è stata colpita da un bersaglio pubblico in Australia: la geografia, il volume e l’assetto del traffico implicano che anche chi non è direttamente coinvolto nel target può trovarsi a dover gestire ricadute su latenza, instradamento o capacità di risposta.
Altro in questa categoria