Maxi-Operazione USA contro Botnet IoT: giù AISURU e Kimwolf, stop ai DDoS record da 30 Tbps

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato la disruption di una vasta infrastruttura di comando e controllo legata a botnet IoT responsabili di attacchi DDoS globali da record. L’operazione, autorizzata da un tribunale, ha colpito quattro famiglie di botnet note nel panorama della sicurezza informatica: AISURU, Kimwolf, JackSkid e Mossad, riducendo la capacità operativa di reti malevole che sfruttavano milioni di dispositivi connessi.

Secondo le informazioni diffuse, queste botnet hanno lanciato attacchi distributed denial of service contro vittime in tutto il mondo, con picchi vicini ai 30 terabit al secondo. Un report precedente ha collegato AISURU e Kimwolf a un attacco DDoS di 31,4 Tbps avvenuto nel novembre 2025 e durato circa 35 secondi, un evento che evidenzia quanto gli attacchi iper-volumetrici possano crescere in potenza e rapidità. In altri episodi, la stessa infrastruttura avrebbe generato volumi medi nell’ordine di miliardi di pacchetti al secondo e decine di milioni di richieste al secondo, numeri in grado di mettere sotto pressione anche servizi di mitigazione avanzati.

La portata del fenomeno è legata alla natura dei dispositivi compromessi. Le stime parlano di almeno 3 milioni di device infetti tra DVR, webcam, router Wi-Fi e soprattutto smart TV e set-top box Android di fascia economica. Kimwolf, in particolare, avrebbe arruolato oltre 2 milioni di dispositivi Android, diventando una variante focalizzata su Android e collegata, per evoluzione, a AISURU, attiva da tempo.

Un elemento chiave è il modello cybercrime-as-a-service, in cui gli operatori vendono accesso alla botnet ad altri criminali per eseguire attacchi DDoS su richiesta e, in alcuni casi, per estorsione. I documenti citano anche volumi elevati di comandi DDoS emessi dalle varianti, con centinaia di migliaia di istruzioni per AISURU e decine di migliaia per Kimwolf e JackSkid.

Sul piano tecnico, Kimwolf avrebbe segnato un cambio di paradigma sfruttando reti proxy residenziali per infiltrarsi in reti domestiche tramite dispositivi compromessi, raggiungendo asset normalmente protetti dai router di casa. Ricercatori e aziende del settore hanno collaborato alla disruption, inclusa l’attività di null routing di numerosi server C2 e l’analisi di vulnerabilità utilizzate anche da botnet emergenti che hanno iniziato a emulare queste tecniche per crescere velocemente.