La botnet Aisuru-Kimwolf es una enorme red de dispositivos infectados con malware capaz de lanzar ataques DDoS hipervolumétricos.
Después de leer este artículo podrás:
Copiar enlace del artículo
La botnet Aisuru-Kimwolf es un conjunto masivo de dispositivos infectados con malware que se utilizan para diversos tipos de ataque, como los ataques de denegación de servicio distribuido (DDoS). Se estima que, en conjunto, Aisuru y Kimwolf se componen de entre 1 y 4 millones de hosts infectados. Es capaz de lanzar ataques DDoS que pueden paralizar las infraestructuras críticas, bloquear la mayoría de las soluciones existentes de protección contra DDoS basadas en la nube e incluso interrumpir la conectividad de países enteros.
Aisuru-Kimwolf ha sido responsable de algunos de los mayores ataques DDoS hipervolumétricos registrados, como un ataque DDoS de 31,4 terabits por segundo (Tb/s), un ataque DDoS de 14 100 millones de paquetes por segundo (Bpps), sofisticados ataques DDoS basados en DNS como los ataques de tortura de agua de DNS y los ataques de prefijo aleatorio, así como de ataques DDoS HTTP de más de 200 millones de solicitudes por segundo.
A fin de intentar evitar su detección, estos ataques que generan gran cantidad de bits o gran cantidad de paquetes suelen utilizar una técnica de bombardeo masivo combinada con un alto grado de aleatoriedad de los atributos de los paquetes. Los ataques se suelen ejecutar mediante una técnica de "ataque relámpago", es decir, se lanza una rápida ráfaga de tráfico de ataque que alcanza sus velocidades máximas casi al instante y que dura apenas unos segundos o unos minutos. En un solo año (2025-2026), el tamaño potencial de los ataques de Aisuru-Kimwolf creció más de un 700 %.
La botnet Aisuru es una red de dispositivos informáticos infectados con malware que incluye desde dispositivos de Internet de las cosas (IoT) y DVR de consumo hasta dispositivos de red e incluso máquinas virtuales (VM) alojadas en la nube. Estos dispositivos infectados trabajan juntos para lanzar ataques DDoS.
Aisuru sirve como base arquitectónica o botnet "matriz" a partir de la cual se han desarrollado otras variantes. Forma parte de un ecosistema de malware más amplio que tiene como objetivo diversos dispositivos para lanzar ataques DDoS hipervolumétricos.
Kimwolf es una botnet muy activa y en rápido crecimiento que tiene como objetivo específicamente dispositivos Android, como cajas de streaming de TV (Smart TV), Android Streamers y dispositivos móviles Android. La propia Kimwolf está formada por aproximadamente 2 millones de dispositivos en todo el mundo, con tasas de infección significativas en Vietnam, Brasil, la India y Arabia Saudí.
Se utiliza para ataques DDoS hipervolumétricos, el relleno de credenciales y la instalación no autorizada de aplicaciones.
La relación es básicamente la de una variante con su matriz. Kimwolf es la "variante de Android" de la botnet DDoS Aisuru. Utiliza la funcionalidad principal de DDoS de Aisuru, pero su función especializada es infectar y operar en el ecosistema de Android.
Ambas forman parte de un sistema que monetiza los dispositivos en riesgo convirtiéndolos en "proxies residenciales". Los operadores de Aisuru y Kimwolf venden el acceso a las direcciones IP de estos dispositivos infectados a otros usuarios o proveedores de proxy, por lo que los ciberdelincuentes pueden mantener el anonimato de sus ataques. Los servicios de redireccionamiento mediante proxy de Aisuru se han utilizado especialmente para ataques de apropiación de datos.
Además, muchos distribuidores monetizan fragmentos de la botnet como una botnet de alquiler (lo que también se conoce como DDoS como servicio). Venden estos servicios a través de canales de Discord y Telegram, a veces por tan solo unas decenas de dólares. Sin embargo, sus servicios DDoS pueden llegar a costar miles de dólares, en función del tamaño y la duración del ataque que vendan. Los ingresos ayudan a continuar financiando el desarrollo de la botnet.
En resumen, Aisuru es el marco DDoS original, y Kimwolf es el "brazo" especializado de Android que ha impulsado el crecimiento masivo de la red al explotar la seguridad poco estricta de los servicios proxy residenciales. La botnet Aisuru-Kimwolf es un ecosistema DDoS parasitario de alta velocidad. Representa el cambio actual de enfoque de los ciberdelincuentes. Ahora no solo lanzan sus ataques contra los usuarios finales, sino que explotan específicamente el sector de los servidores proxy residenciales para lograr un alcance masivo.
Una botnet es un conjunto de dispositivos informáticos conectados a una red e infectados con malware que están bajo el control de un operador malintencionado. Muchos, si no la mayoría, de los ordenadores de una botnet puede parecer que funcionan con normalidad mientras el malware se está ejecutando en segundo plano, esperando órdenes. Los operadores de botnets quieren pasar desapercibidos para que sus redes puedan seguir siendo tan grandes como sea posible. En general, cuanto mayor es el número de dispositivos en una botnet, mayor es su eficacia: más dispositivos significan mayores volúmenes de tráfico desde un rango más amplio de direcciones IP.
Las botnets se componen principalmente de dispositivos normales y cotidianos que se encuentran en nuestros hogares y oficinas. Los dispositivos IoT son especialmente susceptibles a formar parte de una botnet. Esto se debe a que los dispositivos IoT:
Los enrutadores también suelen ser objetivos del malware de propagación de botnets, ya que están siempre conectados a Internet, casi nunca se apagan o actualizan y suelen contener fallos de seguridad. Muchos, si no la mayoría, de los hogares y empresas tienen enrutadores, y muchas personas no saben cómo protegerlos adecuadamente.
Los dispositivos de la botnet esperan instrucciones para realizar las actividades maliciosas. Una vez que han recibido las instrucciones, envían paquetes de información (el "tráfico" de red) al objetivo, que suele ser una aplicación, un sitio web, una red o un servidor específicos. Con miles de dispositivos trabajando juntos, el objetivo puede verse desbordado.
Imaginemos que llegan a la recepción de una oficina varios cientos de paquetes de distintos remitentes a la vez, y el recepcionista tiene que firmar por todos ellos. Los visitantes de la oficina tendrán que esperar para recibir el servicio del recepcionista, e incluso es posible que no lleguen a recibirlo. Una botnet tiene un efecto similar en su objetivo, ya que provoca que los usuarios legítimos de la aplicación sufran una denegación de servicio.
Vale la pena señalar que, aunque los ataques de Aisuru-Kimwolf pueden ser enormes, los ataques más grandes suelen durar apenas unos segundos.
Los dispositivos que Aisuru tiene como objetivo pueden ser vulnerables por cualquiera de las razones mencionadas anteriormente: credenciales por defecto, firmware obsoleto que contiene vulnerabilidades conocidas, etc. Los operadores de la botnet exploran Internet en busca de dispositivos vulnerables e insertan su malware en todos aquellos dispositivos que no se lo impiden.
Aisuru también puede utilizar vulnerabilidades de día cero del firmware de los enrutadores para su rápida propagación. No hay ninguna protección contra este tipo de vulnerabilidades hasta que el fabricante las identifica y publica una revisión.
Kimwolf explota los servicios vulnerables de Android Debug Bridge (ADB). Muchos decodificadores de TV de bajo coste vienen "preinfectados" con SDK de proxy. Esto permite a Kimwolf explorar estas redes proxy residenciales y explotar los dispositivos en cuestión de minutos a medida que se propaga.
Para los ataques DDoS, Aisuru tiende a utilizar ataques de DNS, TCP, UDP y protocolo GRE. La táctica de bombardeo masivo UDP es la más común. Fue la táctica utilizada para el ataque masivo de Aisuru de 31,4 Tb/s y otros ataques de tamaño similar. En un ataque de bombardeo masivo UDP, el tráfico del ataque se dirige a varias direcciones IP y no solo a una. El tráfico dirigido a una dirección IP individual puede estar por debajo del umbral establecido para que se identifique como un ataque. Sin embargo, la fuerza combinada del tráfico puede agotar el ancho de banda de la red.
Asimismo, Aisuru-Kimwolf ha lanzado ataques DDoS HTTP hipervolumétricos, principalmente contra el sector de los videojuegos.
Para descubrir cómo funcionan los ataques basados en TCP, consulta nuestras publicaciones sobre los ataques de inundación SYN y los ataques de inundación ACK.
Un proxy es un servidor que se sitúa entre un ordenador conectado a la red y el resto de la red, y que reenvía el tráfico en su nombre. Si bien los proxies se utilizan para diversos fines legítimos (como la mejora de la seguridad), para los ciberdelincuentes el uso de un proxy es una forma de ocultar el verdadero origen del tráfico de red malicioso.
Los investigadores han identificado a Aisuru como el origen de grandes volúmenes de tráfico malicioso redireccionado mediante proxy. Aisuru vende servicios de "proxy residencial": pueden hacer ver que el tráfico proviene de usuarios domésticos normales de Estados Unidos. Estos servicios se han utilizado en gran medida para ocultar el verdadero origen de los bots de extracción de datos que recopilan datos de los sitios web en contra de los deseos de sus propietarios.
La botnet Mirai es una botnet DDoS grande y potente que estuvo especialmente activa a finales de la década de 2010. El código de Mirai se filtró en 2016 y, desde entonces, ha servido de base para diversas otras botnets importantes, como Aisuru. Tanto Aisuru-Kimwolf como Mirai contienen un gran número de dispositivos IoT.
Otros ejemplos de botnets incluyen Moobot y Meris.
Cloudflare mitiga los ataques DDoS, sin importar su tamaño. El ataque Aisuru-Kimwolf de 31,4 Tb/s descrito anteriormente fue detectado y mitigado automáticamente gracias a las medidas autónomas de protección contra DDoS de Cloudflare. Cualquier red, sitio web, aplicación o API puede utilizar Cloudflare para bloquear los ataques de Aisuru, ya sean grandes o pequeños. Consulta los planes de Cloudflare aquí.
Si quieres saber más sobre Aisuru, incluidos los indicadores de riesgo (IoC) de un ataque de Aisuru, consulta el informe sobre amenazas "Aisuru botnet: Early October attacks escalate into record-setting DDoS activity".