La botnet AISURU/Kimwolf lanzó un ataque DDoS récord de 31,4 Tbps en 35 segundos, detectado por Cloudflare en noviembre de 2025, como parte de una ola de ataques hipervolumétricos que aumentaron un 40% en el cuarto trimestre. La botnet, vinculada a la campaña "The Night Before Christmas", infectó más de 2 millones de dispositivos Android (principalmente TVs) usando proxies como IPIDEA, desmantelada por Google. Los ataques crecieron un 121% en 2025, con 47,1 millones de incidentes, afectando principalmente a telecomunicaciones, China y países como Ecuador, Argentina y Perú. IPIDEA distribuyó 600 apps Android troyanizadas y 3.000 binarios Windows falsos para expandir su red.

La botnet de denegación de servicio distribuido (DDoS), conocida como AISURU/Kimwolf, se ha atribuido a un ataque sin precedentes que alcanzó un máximo de 31,4 terabits por segundo (Tbps) y duró tan solo 35 segundos. Cloudflare, que detectó y mitigó automáticamente la actividad, afirmó que forma parte de un número creciente de ataques DDoS HTTP hipervolumétricos lanzados por la botnet en el cuarto trimestre de 2025. El ataque tuvo lugar en noviembre de 2025.

AISURU/Kimwolf también se ha vinculado a otra campaña DDoS, denominada "The Night Before Christmas", que comenzó el 19 de diciembre de 2025. Según Cloudflare, el tamaño promedio de los ataques DDoS hipervolumétricos durante la campaña fue de 3 mil millones de paquetes por segundo (Bpps), 4 Tbps y 54 solicitudes por segundo (Mrps), con velocidades máximas de 9 Bpps, 24 Tbps y 205 Mrps.

Algunas tendencias destacadas observadas por Cloudflare durante el cuarto trimestre de 2025 son las siguientes:

• Las empresas de telecomunicaciones y los proveedores de servicios se convirtieron en el sector más atacado, seguido de las tecnologías de la información, los juegos de azar, los videojuegos y el software.
• China, Hong Kong, Alemania, Brasil, EE. UU., el Reino Unido, Vietnam, Azerbaiyán, India y Singapur fueron los países más atacados.
• Bangladesh superó a Indonesia como la principal fuente de ataques DDoS. Otras fuentes importantes fueron Ecuador, Indonesia, Argentina, Hong Kong, Ucrania, Vietnam, Taiwán, Singapur y Perú.

"Los ataques DDoS aumentaron un 121% en 2025, alcanzando un promedio de 5.376 ataques mitigados automáticamente cada hora", declararon Omer Yoachimik y Jorge Pacheco de Cloudflare. En 2025, el número total de ataques DDoS se duplicó con creces, alcanzando la increíble cifra de 47,1 millones.

La empresa de infraestructura web señaló que mitigó 34,4 millones de ataques DDoS a nivel de red en 2025, en comparación con los 11,4 millones de 2024. Solo en el cuarto trimestre de 2025, los ataques DDoS a nivel de red representaron el 78% del total. En conjunto, el número de ataques DDoS aumentó un 3 % con respecto al trimestre anterior y un 58% con respecto a 2024.

En el cuarto trimestre de 2025, los ataques hipervolumétricos aumentaron un 40 % en comparación con el trimestre anterior, pasando de 1.304 a 1.824. En el primer trimestre de 2025 se registraron 717 ataques. Este aumento en el número de ataques se vio acompañado de un incremento en su tamaño, que creció más del 700% en comparación con los grandes ataques observados a finales de 2024.

AISURU/Kimwolf ha atrapado en su botnet a más de 2 millones de dispositivos Android, la mayoría de los cuales son televisores Android de otras marcas, a menudo mediante túneles a través de redes proxy residenciales como IPIDEA. El mes pasado, Google interrumpió la red proxy e inició acciones legales para desmantelar docenas de dominios utilizados para controlar dispositivos y el tráfico proxy a través de ellos.

También se asoció con Cloudflare para interrumpir la resolución de dominios de IPIDEA, lo que afectó su capacidad para controlar los dispositivos infectados y comercializar sus productos.

Se ha determinado que IPIDEA ha registrado dispositivos utilizando al menos 600 aplicaciones Android troyanizadas que integraban varios kits de desarrollo de software (SDK) de proxy, y más de 3.000 binarios de Windows troyanizados que se hacían pasar por OneDriveSync o actualizaciones de Windows. Además, la empresa con sede en Pekín ha promocionado varias aplicaciones VPN y proxy que convertían silenciosamente los dispositivos Android de los usuarios en nodos de salida de proxy sin su conocimiento ni consentimiento.

Además, se ha descubierto que los operadores gestionan al menos una docena de empresas de proxy residencial que se hacen pasar por servicios legítimos. Tras bambalinas, todas estas ofertas están conectadas a una infraestructura centralizada bajo el control de IPIDEA.

Fuente: THN

Fuentes:
http://blog.segu-info.com.ar/2026/02/la-botnet-aisurukimwolf-lanza-un-ataque.html