A botnet Aisuru/Kimwolf desencadeou o maior ataque distribuído de negação de serviço já registrado publicamente, atingindo picos de 31,4 terabits por segundo. O ataque massivo, batizado de campanha “A Noite Antes do Natal”, teve início em 19 de dezembro de 2025, mirando a infraestrutura da Cloudflare e seus clientes com ataques hipervolumetricos que combinaram DDoS de camada 4 em largura de banda recorde e inundações HTTP da camada de aplicação que superaram 200 milhões de solicitações por segundo.
A campanha marcou uma escalada significativa no cenário de ameaças DDoS, superando o recorde anterior de 29,7 Tbps alcançado pela mesma botnet Aisuru em setembro de 2025. Os atores da ameaça exploraram milhões de caixas de streaming Android não oficiais para gerar volumes de tráfego sem precedentes, aproveitando dispositivos Android TV comprometidos como fontes de ataque. O pico de 31,4 Tbps representa uma escala que teria sobrecarregado a maioria dos provedores de mitigação de DDoS, com serviços concorrentes como Akamai Prolexic (capacidade de 20 Tbps), Netscout Arbor Cloud (15 Tbps) e Imperva (13 Tbps) enfrentando taxas teóricas de utilização de largura de banda superiores a 150-240%.
Características e distribuição do ataque hipervolumetrico
O ataque consistiu em milhares de investidas individuais com padrões distintos que revelaram coordenação sofisticada pelos operadores da botnet. A análise da distribuição mostrou que 90,3% dos ataques atingiram picos de 1 a 5 Tbps, 5,5% entre 5 e 10 Tbps e apenas 0,1% excedeu 30 Tbps. Do ponto de vista da taxa de pacotes, 94,5% dos ataques geraram entre 1 e 5 bilhões de pacotes por segundo, com 4% atingindo picos entre 5 e 10 Bpps e 1,5% alcançando 10 a 15 Bpps.
Os padrões de duração demonstraram preferência por rajadas curtas e intensas, projetadas para sobrecarregar as defesas antes de acionar respostas de mitigação. Apenas 9,7% dos ataques duraram menos de 30 segundos, enquanto 27,1% se sustentaram por 30 a 60 segundos e a maioria de 57,2% persistiu entre 60 e 120 segundos. Somente 6% dos ataques excederam dois minutos de duração, sugerindo que os operadores da botnet otimizaram para salvas de fogo rápido em vez de campanhas sustentadas. As empresas de jogos suportaram o peso dos ataques, respondendo por 42,5% dos ataques hipervolumetricos, seguidas por organizações de tecnologia da informação e serviços com 15,3%. Os provedores de telecomunicações representaram 2,2% dos alvos, enquanto provedores de serviços de internet, operações de jogos de azar e empresas de software de computador compreenderam os demais alvos de primeira linha.
A distribuição geográfica revelou ataques concentrados contra principais centros de internet e econômicos. Os Estados Unidos absorveram 30,8% de todos os ataques hipervolumetricos de camada de rede, tornando-se o alvo principal, enquanto a China enfrentou 7,7% e Hong Kong recebeu 3,2%. Brasil (1,9%), Reino Unido (1,8%), Alemanha (1,7%), Canadá (0,7%), Índia (0,6%), Suíça (0,6%) e Taiwan (0,2%) completaram os dez países mais visados. A botnet Aisuru evoluiu para uma das ameaças DDoS mais formidáveis da história moderna da internet, com sua variante focada em Android, Kimwolf, se separando em agosto de 2025. Pesquisadores de segurança da Synthient documentaram que a Kimwolf infectou mais de 2 milhões de dispositivos Android TV não oficiais, explorando redes proxy residenciais para estabelecer uma infraestrutura distribuída de comando e controle.
O número total de ataques DDoS mais do que dobrou para 47,1 milhões em 2025, alta de 121% em relação aos 21,3 milhões de 2024 e 236% em comparação aos 14 milhões de 2023. Os sistemas da Cloudflare mitigaram uma média de 5.376 ataques DDoS a cada hora durante 2025, compreendendo 3.925 ataques de camada de rede e 1.451 ataques HTTP DDoS. Os ataques DDoS de camada de rede impulsionaram a maior parte desse crescimento, mais do que triplicando ano a ano, de 11,4 milhões em 2024 para 34,4 milhões em 2025. Apenas o quarto trimestre registrou 8,5 milhões de ataques de camada de rede, representando um aumento de 152% ano a ano e crescimento de 43% trimestre a trimestre, com esses ataques respondendo por 78% de toda a atividade DDoS no quarto trimestre de 2025.
