La botnet Aisuru/Kimwolf lanzó el mayor ataque de denegación de servicio distribuido (DDoS) revelado públicamente en la historia, alcanzando un pico sin precedentes de 31.4 terabits por segundo (Tbps). El masivo ataque, denominado campaña “La Noche antes de Navidad”, tuvo como objetivo la infraestructura y clientes de Cloudflare con ataques hipervolumétricos que comenzaron el 19 de diciembre de 2025, combinando ataques DDoS en Capa 4 con un ancho de banda récord junto a ataques HTTP en la capa de aplicación

La botnet Aisuru/Kimwolf lanzó el mayor ataque de denegación de servicio distribuido (DDoS) públicamente revelado en la historia, alcanzando un pico sin precedentes de 31.4 terabits por segundo (Tbps).

El masivo ataque, denominado campaña “La Noche Antes de Navidad”, apuntó a la infraestructura y clientes de Cloudflare con ataques hipervolumétricos a partir del 19 de diciembre de 2025, combinando ataques DDoS de Capa 4 con un ancho de banda récord junto a inundaciones HTTP en la capa de aplicación que superaron los 200 millones de solicitudes por segundo (rps).

El ataque “La Noche Antes de Navidad” marcó una escalada significativa en el panorama de amenazas DDoS, superando el récord previo de 29.7 Tbps logrado por la misma botnet Aisuru en septiembre de 2025.

La campaña aprovechó dispositivos Android TV comprometidos como fuentes de ataque, con actores de amenazas explotando millones de cajas de streaming Android no oficiales para generar volúmenes de tráfico sin precedentes.

El pico de 31.4 Tbps representa una escala que habría abrumado a la mayoría de los proveedores de mitigación de DDoS, con servicios competidores como Akamai Prolexic (capacidad de 20 Tbps), Netscout Arbor Cloud (15 Tbps) e Imperva (13 Tbps) enfrentando tasas teóricas de utilización de ancho de banda superiores al 150-240%.

Distribución y características del ataque

El asalto hipervolumétrico consistió en miles de ataques individuales con patrones distintos que revelaron una coordinación sofisticada por parte de los operadores de la botnet.

El análisis de la distribución del ataque mostró que el 90.3% de los ataques alcanzó picos de 1-5 Tbps, el 5.5% de 5-10 Tbps, y solo el 0.1% superó los 30 Tbps. Desde la perspectiva de la tasa de paquetes, el 94.5% de los ataques generó entre 1-5 mil millones de paquetes por segundo (Bpps), con un 4% alcanzando entre 5-10 Bpps y un 1.5% llegando a 10-15 Bpps.

Los patrones de duración del ataque demostraron una preferencia por ráfagas cortas e intensas diseñadas para abrumar las defensas antes de activar respuestas de mitigación. Solo el 9.7% de los ataques duró menos de 30 segundos, mientras que el 27.1% se mantuvo entre 30-60 segundos, y una mayoría del 57.2% persistió entre 60-120 segundos.

Apenas el 6% de los ataques superó los dos minutos de duración, lo que sugiere que los operadores de la botnet optimizaron para descargas rápidas en lugar de campañas sostenidas.

La campaña demostró un claro enfoque estratégico en infraestructuras críticas y sectores de alto valor. Las empresas de videojuegos sufrieron la mayor parte de los ataques, representando el 42.5% de los ataques hipervolumétricos, seguidas por organizaciones de Tecnología de la Información y Servicios con un 15.3%.

Los proveedores de telecomunicaciones representaron el 2.2% de los objetivos, mientras que los proveedores de servicios de Internet, operaciones de apuestas y empresas de software informático conformaron el resto de los principales blancos.

La distribución geográfica reveló ataques concentrados contra los principales centros de Internet y centros económicos. Estados Unidos absorbió el 30.8% de todos los ataques hipervolumétricos en la capa de red, convirtiéndose en el principal objetivo, mientras que China enfrentó el 7.7% y Hong Kong recibió el 3.2%.

Brasil (1.9%), el Reino Unido (1.8%), Alemania (1.7%), Canadá (0.7%), India (0.6%), Suiza (0.6%) y Taiwán (0.2%) completaron los 10 países más atacados.

Evolución de la botnet Aisuru/Kimwolf

La botnet Aisuru se ha convertido en una de las amenazas DDoS más formidables en la historia moderna de Internet, con su variante enfocada en Android, Kimwolf, escindiéndose en agosto de 2025. Investigadores de seguridad de Synthient documentaron que Kimwolf infectó más de 2 millones de dispositivos Android TV no oficiales, explotando redes proxy residenciales para establecer una infraestructura distribuida de comando y control.

La botnet ganó atención generalizada en octubre de 2025 cuando ocupó temporalmente el primer puesto en el ranking global de dominios de Cloudflare gracias a la generación masiva de tráfico.

Black Lotus Labs de Lumen Technologies ha estado interrumpiendo activamente las operaciones de la botnet desde principios de octubre de 2025, anulando el tráfico hacia más de 550 servidores de comando y control asociados con la infraestructura de Aisuru y Kimwolf.

A pesar de estos esfuerzos de mitigación, la botnet demostró resiliencia al cambiar rápidamente los nodos C2 a nueva infraestructura, aprovechando en particular direcciones IP de Resi Rack LLC y números de sistema autónomo comunes (ASNs).

El ataque récord ocurrió en un contexto de crecimiento explosivo de los ataques DDoS durante 2025. El número total de ataques DDoS se más que duplicó, alcanzando 47.1 millones en 2025, un aumento del 121% respecto a los 21.3 millones en 2024 y del 236% frente a los 14 millones en 2023. Los sistemas de Cloudflare mitigaron un promedio de 5,376 ataques DDoS cada hora durante 2025, incluyendo 3,925 ataques en la capa de red y 1,451 ataques DDoS HTTP.

Los ataques DDoS en la capa de red impulsaron la mayor parte de este crecimiento, más que triplicándose año tras año, pasando de 11.4 millones en 2024 a 34.4 millones en 2025. Solo el cuarto trimestre registró 8.5 millones de ataques en la capa de red, lo que representa un aumento interanual del 152% y un crecimiento trimestral del 43%, con estos ataques representando el 78% de toda la actividad DDoS en el cuarto trimestre de 2025.

El panorama de amenazas mostró tendencias preocupantes en sofisticación y escala. Los ataques en la capa de red que superaron los 100 millones de paquetes por segundo (Mpps) aumentaron un 600%, mientras que los ataques que excedieron 1 Tbps crecieron un 65% trimestre a trimestre. Casi uno de cada 100 ataques DDoS en la capa de red superó 1 Mpps, lo que indica un cambio hacia patrones de ataque de mayor intensidad.

En la capa de aplicación, las botnets DDoS conocidas representaron el 71.5% de todos los ataques DDoS HTTP, mientras que los atributos HTTP sospechosos representaron el 18.8%, los navegadores falsos o sin cabeza el 5.8%, y las inundaciones genéricas el 1.8%.

El análisis de la duración de los ataques reveló que el 78.9% de los ataques DDoS HTTP concluyeron en 10 minutos, demostrando una preferencia por ciclos de ataque rápidos.

La distribución de la magnitud de los ataques mostró que el 69.4% de los ataques DDoS HTTP se mantuvieron por debajo de 50,000 solicitudes por segundo, mientras que el 2.8% superó 1 millón de rps, lo que significa que aproximadamente tres de cada 100 ataques HTTP calificaron como hipervolumétricos.

El nuevo sistema de detección de botnets en tiempo real de Cloudflare identificó y mitigó con éxito más del 50% de los ataques DDoS HTTP automáticamente sin intervención humana.

Fuentes de la infraestructura de ataque

La distribución global de las fuentes de ataque reveló cambios significativos en los orígenes geográficos del tráfico malicioso durante el cuarto trimestre de 2025. Bangladesh emergió como la mayor fuente de ataques DDoS, desplazando a Indonesia, que había ocupado el primer puesto durante el año anterior y cayó al tercer lugar. Ecuador se ubicó en segundo lugar, mientras que Argentina ascendió 20 posiciones para convertirse en la cuarta mayor fuente.

Otras fuentes significativas de ataques incluyeron Hong Kong (5º), Ucrania (6º), Vietnam (7º), Taiwán (8º), Singapur (9º) y Perú (10º). Rusia experimentó un notable descenso, cayendo cinco posiciones hasta el décimo lugar, mientras que Estados Unidos bajó cuatro puestos hasta el sexto.

El análisis de las redes de origen de los ataques reveló que los actores de amenazas explotaron principalmente plataformas de computación en la nube e infraestructura de telecomunicaciones.

Los proveedores de servicios en la nube, incluyendo DigitalOcean (AS 14061), Microsoft (AS 8075), Tencent, Oracle y Hetzner, dominaron como fuentes de ataque, representando la mitad de las 10 principales redes de origen y demostrando la explotación de máquinas virtuales fácilmente provisionadas para ataques de alto volumen.

Los proveedores tradicionales de telecomunicaciones de la región Asia-Pacífico, particularmente de Vietnam, China, Malasia y Taiwán, conformaron el resto de las principales fuentes.

A pesar de la escala sin precedentes de la campaña “La Noche Antes de Navidad”, la infraestructura de Cloudflare demostró resiliencia con su capacidad total de mitigación de 449 Tbps distribuida en 330 puntos de presencia (PoPs).

El ataque de 31.4 Tbps consumió solo el 7% del ancho de banda disponible de Cloudflare, dejando un 93% de capacidad restante. Los sistemas automatizados de detección y mitigación neutralizaron con éxito los ataques hipervolumétricos sin activar alertas internas ni requerir intervención humana, destacando la efectividad de los mecanismos de defensa basados en aprendizaje automático.

La campaña subraya la importancia crítica de contar con una infraestructura de mitigación de DDoS a gran escala, ya que los volúmenes de ataque continúan su trayectoria de crecimiento exponencial.

Las organizaciones que dependen de proveedores con capacidad limitada enfrentan riesgos existenciales, ya que el ataque habría superado teóricamente la capacidad total de mitigación de múltiples servicios competidores de manera simultánea.

Fuentes:
https://cybersecuritynews.com/31-4-tbps-ddos-attack/