Aisuru-Kimwolfボットネットは、超帯域幅消費型DDoS攻撃を仕掛けることができる、マルウェアに感染したデバイスで形成された大規模なネットワークです。
この記事を読み終えると、以下のことができるようになります。
記事のリンクをコピーする
Aisuru-Kimwolfボットネットはマルウェアに感染したデバイスの膨大な集合体で、分散型サービス妨害（DDoS）攻撃を含むさまざまな攻撃に使用されます。AisuruとKimwolfを合わせると、推定100万～400万台の感染端末があると考えられています。このボットネットは非常に強力で、重要インフラを麻痺させ、ほとんどの従来型クラウドベースのDDoS攻撃対策ソリューションをクラッシュさせ、国全体の接続を妨害するほどのDDoS攻撃を仕掛ける能力を持ちます。
Aisuru-Kim Wolfはこれまで、31.4テラビット/秒（Tbps）のDDoS攻撃、141億パケット/秒（Bpps）のDDoS攻撃、「水責め攻撃」や「ランサムプレフィックス」攻撃などの高度なDNSベースのDDoS攻撃、および毎秒2億リクエストを超えるHTTP DDoS攻撃といった史上最大級の超帯域幅消費型DDoS攻撃を引き起こしてきました。
これらの攻撃は、データ量とパケット数の両面で非常に大規模で、通常、絨毯爆撃型手法をとり、検出を避けるために、パケット属性の強力なランダム化が行われています。攻撃は通常、一瞬で最大トラフィックに到達させて数秒から数分で撤退する「ヒットアンドラン」方式で行われます。2025年から2026年の1年間で、Aisuru-Kimwolfの潜在的な攻撃規模は700%以上も増加したとされています。
Aisuruボットネットはマルウェアに感染したコンピューティングデバイスのネットワークで、一般家庭に設置されているモノのインターネット（IoT）機器やDVR（録画機器）、ネットワーク機器、さらにはクラウドホスト上の仮想マシン（VM）で構成されています。これらの感染したデバイスが連携してDDoS攻撃を仕掛けます。
Aisuruはこの構造の基盤（「親」）でこれを基に他の亜種が開発されています。広範なマルウェアエコシステムの一部として、さまざまなデバイスを標的として超帯域幅消費型DDoS攻撃を仕掛けます。
Kim WolfはAndroid端末特化型のボットネットで、TVストリーミングボックス（Smart TV）、Androidストリーミングボックス、Androidモバイル端末などを中心に非常に活発で急速に拡大しています。Kimwolf単体でも、全世界で約200万台の感染デバイスがあるとされており、その感染はベトナム、ブラジル、インド、サウジアラビアを中心に広がっています。
超帯域幅消費型DDoS攻撃、クレデンシャルスタッフィング、不正なアプリインストールなどに使われます。
この二つは基本的に「親」と「亜種」の関係です。Kim Wolfは、Aisuru DDoSボットネットの「Android特化型の亜種」であり、AisuruのコアDDoS機能を使用しながらも、Androidエコシステム内での感染と動作に特化した形に改造されています。
どちらも、感染させた端末を「レジデンシャルプロキシ」にすることで金銭を獲得する仕組みの一端を担っています。AisuruとKimwolfの運営者は、これらの感染したデバイスのIPアドレスへのアクセスを他のユーザーやプロキシプロバイダーに販売しており、これを購入したサイバー犯罪者は匿名で攻撃を行えるようになります。Aisuruのプロキシサービスは、特にデータスクレイピング攻撃に利用されています。
さらに、ボットネットの一部は、多くの再販業者によって、DDoS-as-a-serviceとしても知られる「ボットネット・フォー・ハイヤー（Botnet-for-hire、レンタルボットネット）」として収益化されています。これらのサービスはDiscordやTelegram上で販売され、時には数十米ドルほどの安価で販売されることもあれば、攻撃の規模や期間によっては数千ドルの値が付けられることもあり、その収益は、ボットネットのさらなる開発資金に充てられます。
要約すると、AisuruはDDoSフレームワークの元であり、KimwolfはAndroidに特化した「部隊」で、一般家庭用プロキシサービスのセキュリティの甘さを悪用して自身のネットワークを広めてきました。Aisuru-Kimwolfボットネットは、さまざまなデバイスに寄生して高速DDoSを引き起こすエコシステムであり、単にエンドユーザーだけを標的にするだけでなく、特に一般家庭用のプロキシ業界を悪用して大規模化するという、サイバー犯罪の現代的な変化を表しています。
ボットネットとは、マルウェアに感染して悪意のあるものによって制御されている、ネットワークに接続されたコンピューティングデバイスの集合体です。多くの感染端末は見た目は正常に動作しているように見えるものの、その裏では攻撃の支持を待ち受けているマルウェアが動作を続けています。ボットネットの運営者は、できるだけ発見されずにその規模を拡大することを狙っています。一般的に、ボットネットを構成するデバイスの数が多いほど、より広い範囲のIPアドレスからより大量のトラフィックでの攻撃が可能になるため強力になります。
ボットネットの大半は、一般家庭やオフィスで日常的に使用されるデバイスで構成されています。中でもIoTデバイスは、ボットネットの一部として取り込まれやすい存在です。その理由はIoT機器が持つ以下の特性によります：
ルーターも標的になりやすく、「常にインターネットに接続されている」、「停止や更新がほとんどない」、「セキュリティ上の脆弱性が放置されていることが多い」などの上に挙げた問題がその理由です。多くの一般家庭や会社にはルーターが置かれているにもかかわらず、多くの人はルーターを適切に保護する方法を知りません。
感染した機器は、攻撃の指示が来るまで活動を行わずに待機しています。指示を受けると、特定のアプリケーション、Webサイト、ネットワーク、またはサーバーを標的に情報のパケット（ネットワーク「トラフィック」）を送りつけます。数千台のデバイスが連携することで、標的は処理負担過多の状態に陥ります。
例えるなら、オフィスの受付に大量の送り主から数百個の荷物が届き、そのすべてにサインをする必要がある受付担当者を想像してください。その間、本来対応すべき来訪者は待たされるどころか、そのまま対応してもらえない場合もあります。ボットネットも標的に同様の影響を及ぼし、正当なアプリケーション利用者を妨害します。
Aisuru-Kimwolfの攻撃は大規模になる可能性があるものの、最大級の攻撃でも数秒程度で終わることが多いのが特徴です。
Aisuruが標的とするデバイスは、「認証情報が初期状態のまま」「ファームウェアが古いままで既知の脆弱性が放置されている」などの特徴が挙げられます。ボットネットの運営者は、インターネット上をスキャンして脆弱なデバイスを探し、そのデバイスにマルウェアを感染させます。
さらに、ルーターのファームウェアに存在するzero-day脆弱性を利用して、爆発的な拡散を狙います。こうした脆弱性は、メーカーが問題を発見して修正パッチを出すまでは、防ぐ手段がほぼありません。
Kimwolfは、Android Debug Bridge（ADB）の脆弱な設定を悪用します。特に、低価格のテレビ用Androidボックスには、最初から感染したプロキシ用のSDKが組み込まれているケースもあります。Kimwolfはこれらの一般家庭用プロキシネットワークをスキャンし、数分以内に次々と感染を広げていきます。
Aisuruは傾向的に、DDoS攻撃に、DNS、TCP、UDP、およびGREプロトコル攻撃を使用します。UDP 絨毯爆撃は最も一般的な攻撃手口であり、これはAisuruの31.4Tbpsの攻撃と、それと同等規模の攻撃に使用された戦術でした。UDP絨毯爆撃攻撃では、複数のIPアドレスを標的にします。1つ1つのIPへの通信量は、攻撃と判断されにくい水準になりますが、全体としては膨大な通信量になり、ネットワークの帯域幅を埋め尽くす可能性があります。
さらに、Aisuru-Kimwolfは、主にゲーミング業界を標的とした超帯域幅消費型HTTP DDoS攻撃を仕掛けています。
TCPベースの攻撃の仕組みについては、SYNフラッド攻撃およびACKフラッド攻撃を参照してください。
プロキシとは、ネットワークに接続されたコンピュータと通信先となる外部ネットワークの間に位置し、その通信を代わりに中継するサーバーのことです。プロキシは、セキュリティ強化など正当な目的でも利用されますが、サイバー犯罪者にとっては、悪意のあるネットワークトラフィックの本当の発信元を隠す手段となります。
研究者らは、Aisuruが大量の「プロキシ経由の悪意ある通信」の発信源となっていることを確認しています。Aisuruは「レジデントプロキシ」サービスを販売しており、トラフィックを米国の一般家庭から発信されたように見せかけることができます。これらのサービスは、Webサイトが望まないデータ収集を行う「データスクレイピングボット」の本当の発信元の隠蔽手段として使用されてきました。
Miraiボットネットは、特に2010年代後半に活発な動きを見せた大規模で強力なDDoSボットネットです。2016年にMiraiのコードが漏洩して以来、数々の主要なボットネットの基盤として使用されており、Aisuruもその一つにあたります。Aisuru-Kimwolf、Miraiはどちらも大量のIoTデバイスを使用する点で共通しています。
ボットネットの他の例には、MoobotやMerisがあります。
Cloudflareは、DDoS攻撃の大小を問わず軽減できる仕組みを備えています。実際にCloudflareの自律型DDoS攻撃防御機能は、前述の31.4 Tbps級のAisuru-Kimwolf攻撃を自動的に検出して軽減しています。Cloudflareは、あらゆるネットワーク、Webサイト、アプリケーション、APIに向けられた大小さまざまなAisuruの攻撃を阻止することができます。こちらからCloudflareのプランをご覧ください。
Aisuruに関する詳細やAisuru型が使われた攻撃を示す侵害指標（IoC）については、脅威ブリーフ「Aisuruボットネット：10月初旬の攻撃が記録的なDDoS活動に発展」をご覧ください。