2025年9月，，，， ，一次攻击流量峰值高达 11.5Tbps 的创纪录DDoS攻击震惊全球，，，， ，远超以往所有已知案例。。。。。。。。意昂体育-科技赋能场景,让娱乐更有趣!XLab监测发明，，，， ，此次攻击与此前两次破纪录的攻击均有一个名为 AISURU 的僵尸网络加入。。。。。。。。该网络最早于2024年8月由XLab首次披露，，，， ，其时已具备 1至3Tbps 的攻击能力，，，， ，足以瘫痪大大都互联网效劳。。。。。。。。已往一年，，，， ，XLab一连追踪其演变，，，， ，发明AISURU通过多种入侵在线装备、入侵路由器升级效劳器等多种方法一直扩张，，，， ，已生长为近年来最具破损力的僵尸网络之一。。。。。。。。
所谓僵尸网络，，，， ，是指大宗被黑客控制的装备组成的“网络军团”，，，， ，可以在幕后统一提倡攻击。。。。。。。。AISURU最早于2024年8月被意昂体育-科技赋能场景,让娱乐更有趣!XLab首次发明，，，， ，其时它已具备强盛的攻击能力，，，， ，声称控制了凌驾3万个装备节点，，，， ，足以瘫痪大大都互联网效劳。。。。。。。。而在已往几个月里，，，， ，它通过入侵“totolink”路由器的升级效劳器，，，， ，将恶意程序通过升级方法偷偷植入用户的totolink装备，，，， ，熏染规模迅速扩大，，，， ，节点数目一度突破30万。。。。。。。。
意昂体育-科技赋能场景,让娱乐更有趣!XLab在剖析AISURU的最新样本时发明，，，， ，它能自动识别是否被清静职员监测，，，， ，一旦察觉就自动退出运行，，，， ，阻止被查。。。。。。。。它还会伪装成正常程序，，，， ，甚至通过杀死特殊历程、修改装备设置等方法避免其他黑客与其“抢夺”装备控制权。。。。。。。。
更令人担心的是，，，， ，AISURU的用途正在爆发转变。。。。。。。。除了发动DDoS攻击外，，，， ，它还最先测试装备的网络速率，，，， ，挑选毗连质量好的装备用于构建网络“署理效劳”——这意味着它可能被用于隐藏真实身份、绕过网络限制，，，， ，甚至加入更重大的网络犯法运动。。。。。。。。
意昂体育-科技赋能场景,让娱乐更有趣!XLab在本次事务中不但乐成还原了AISURU的运作机制，，，， ，还通过威胁感知系统追踪其指令泉源，，，， ，确认其在多起重大攻击事务中的焦点角色。。。。。。。。面临这一日益重大的网络威胁，，，， ，意昂体育-科技赋能场景,让娱乐更有趣!呼吁业界增强协作，，，， ，推动信息共享与团结防御，，，， ，配合守护数字天下的清静。。。。。。。。
以下是报告全文：
概述
2025年以来，，，， ，全球DDoS攻击的带宽峰值一直刷新历史纪录，，，， ，从年头的3.12 Tbps一起飙升至克日惊人的11.5 Tbps。。。。。。。。在多起具有高影响力或突破流量纪录的攻击事务中，，，， ，我们均监测到一个名为AISURU的僵尸网络在幕后频仍运动。。。。。。。。
Cloudflare报告11.5T攻击事务:
XLAB攻击事务监控数据:
AISURU僵尸网络最初于2024年8月由XLab首次披露，，，， ，曾加入针对《黑神话：悟空》刊行平台的DDoS攻击。。。。。。。。自今年3月以来，，，， ，XLab大网威胁监测平台一连捕获到该僵尸网络的新样本。。。。。。。。多方信息显示，，，， ，其背后团伙在4月涉嫌入侵某品牌路由器固件升级效劳器，，，， ，通过下发恶意剧本进一步扩展僵尸网络规模，，，， ，目今节点数目据称已达30万。。。。。。。。
更值得小心的是，，，， ，部分AISURU样本中嵌入的“彩蛋”信息已显着凌驾纯粹的攻击意图，，，， ，转而试图转达特定意识形态内容。。。。。。。�；；；；；；；谡庖谎纤嗵�，，，， ，我们决议撰写本报告，，，， ，向清静社区果真相关研究效果，，，， ，呼吁各方携手应对，，，， ，配合攻击这一愈发放纵的网络犯法运动。。。。。。。。
匿名新闻源 & XLab视野
由于XLab恒久深耕DDoS攻击这一领域，，，， ，并一连宣布可靠且独具深度的剖析报告，，，， ，这为我们不但在防御者群体中、也在攻击者圈内积累了优异的声誉。。。。。。。。克日，，，， ，针对AISURU/ AIRASHI这一僵尸网络，，，， ，有知情的匿名新闻源自动向我们提供了相关情报，，，， ，希望能像此前攻击Fodcha僵尸网络一样，，，， ，彻底瓦解AISURU。。。。。。。。这一线索让我们终于有时机走近AISURU背后的团伙，，，， ，揭开僵尸网络的运作内幕。。。。。。。。
匿名新闻源
据匿名新闻源称：AISURU团伙有3个要害人物，，，， ，代号划分为Snow, Tom, Forky。。。。。。。。2022年，，，， ，Forky熟悉了其时尚在微末的Snow和Tom，，，， ，经由catddos僵尸网络等一再愉快的相助之后，，，， ，三人一拍即合，，，， ，决议建设现在的AISURU团队。。。。。。。。
Snow：认真僵尸网络的开发
Tom：认真误差，，，， ，包括0day发明，，，， ，Nday整合
Forky：认真僵尸网络的销售
2025年4月，，，， ，Tom乐成入侵totolink的一台路由升级效劳器，，，， ，将固件升级的url设定为下载执行恶意剧本。。。。。。。。这意味着每台执行升级操作的totolink路由器，，，， ，都有可能熏染AISURU僵尸网络。。。。。。。。
这次入侵让AISURU僵尸网络的规模迅速攀升，，，， ，在极短的时间内突破10万级。。。。。。。。云云重大的规模，，，， ，让他们也有点措手缺乏，，，， ，不得不牺牲睡觉时间，，，， ，加班加点在数个C2 IP上设置战略，，，， ，配合GRE TUNNEL举行分流。。。。。。。。
AISURU团伙成员行事张扬，，，， ，常以“好玩”为由对ISP发动攻击，，，， ，破损性很是强。。。。。。。。这使得他们在DDoS圈内口碑很是差，，，， ，常被别人戏称为“精神不正常”，，，， ，可以说是树敌无数。。。。。。。。
4月尾，，，， ，DDoS圈内人士决议给AISURU团伙一点颜色看看，，，， ，最先在社交媒体种种爆料。。。。。。。。先是在一次Cloudlare体现缓解创纪录的5.8Tbps的推文下，，，， ，回复道：“这是来自340k totolink路由的攻击！”；；；；；；；几天又曝光更重量级的证据：僵尸网络的后台截图。。。。。。。。从统计数据来看其时bot在线总数凌驾30万，，，， ，其中3万来自中国。。。。。。。。他一边高呼“welcome to totolink botnet”，，，， ，一边@totolink以及国际刑警，，，， ，希望引起公众，，，， ，执法机构注重，，，， ，以实现对AISURU的攻击意图。。。。。。。。
现在totolink升级效劳器的误差已被修补，，，， ，AIRUSU团伙也诙谐的体现，，，， ，但着实AIRUSU僵尸网络的规模并未被影响，，，， ，依然坚持在30万左右。。。。。。。。
RIP TOTOLINK 2025-2025
在2025年9月创纪录的12.1 Tbps之前，，，， ，Aisuru做过数次攻击测试，，，， ，包括对着名记者Brian Krebs小我私家网站的攻击，，，， ，攻击流量均创立了其时的“天下纪录”。。。。。。。。
有意思的是“Ethan J Foltz”是Rapper Botnet的作者的真名，，，， ，他于2025年8月6日被捕；；；；；；；而上图中“Ethan J Foltz”这个ID背后之人着实是Snow，，，， ，他使用这种方法赤裸裸的讥笑Rapperbot，，，， ，这或许是AISURU团伙在DDoS圈人人喊打的缘故原由之一。。。。。。。。
XLab视野
关于匿名新闻源提供的故事，，，， ，读者一定会有类似的想法：我们或许无法验证这些人物，，，， ，但依托于XLab大网威胁感知系统强盛的监测能力，，，， ，我们对均有优异的视野。。。。。。。。以该团伙的数次要害运动为线索，，，， ，通过数据交织比对，，，， ，我们以为匿名新闻源提供的情报具有较高的可信度。。。。。。。。
“这简直是很有趣的瓜，，，， ，可你这瓜保熟不？？？？？？ ？？”
样本，，，， ，C2，，，， ，攻击事务
1：2025年4月向totolink升级效劳器植入的恶意剧本t.sh
从26日起，，，， ，剧本最先使用一个域名updatetoto.tw，，，， ，可以通过域名排名系统Tranco来权衡它的活跃程序。。。。。。。。
以4月29日到5月30日的排名为例，，，， ，updatetoto.tw这个于4月25日才建设的Downloader域名在短短的一个月内就在全球域名中排到了672588，，，， ，证实AISURU团伙这次的熏染运动很是乐成。。。。。。。。
2：2025年4月开启GRE TUNNEL的C2 IP
Aisuru团伙在151.242.2.[22 - 25]这4个IP 设置GRE Tunnel，，，， ，它们角色着实是C2效劳器。。。。。。。。
而我们在4月份捕获的C2 的TXT纪录解密后涵盖了这4个IP，，，， ，说明这个C2隶属于Aisuru团伙。。。。。。。。
approach.ilovegaysex[.]su
3：2025年5月对KrebsOnSecurity的攻击
对恶意域名 ilovegaysex 所关联的 C2 效劳器举行指令跟踪，，，， ，今年5月监测到其针对网络清静视察记者 Brian Krebs 的小我私家博客提倡了网络攻击。。。。。。。。
4：2025年9月对185.211.78.117的攻击
对恶意域名 ilovegaysex 所关联的 C2 效劳器举行指令跟踪，，，， ，今年9月监测到对185.211.78.117提倡了网络攻击，，，， ，流量是惊人的11.5 Tbps。。。。。。。。
样本撒播
依托于XLab大网威胁感知系统的能力，，，， ，我们视察到Aisuru样本最近主要通过NDAY误差撒播，，，， ，同时具备0DAY误差的使用能力。。。。。。。。去年6月最先使用的美国Cambium Networks公司的cnPilot路由器0DAY仍然在使用。。。。。。。。Aisuru撒播样本使用的部分误差如下：
攻击统计
Aisuru僵尸网络的攻击目的遍布全球，，，， ，漫衍在各个行业，，，， ，主要攻击目的漫衍在中国、美国、德国，，，， ，英国，，，， ，中国香港等地区。。。。。。。。并无显着的强针对性。。。。。。。。逐日攻击目的几百个左右。。。。。。。。
DDoS攻击趋势：
受害者地区漫衍：
手艺剖析
从2025年3月14日起，，，， ，AIRURU团伙最先投递新的僵尸网络样本，，，， ，和现在掌握的源码举行比对，，，， ，我们发明更新主要集中在加密方法上，，，， ，阻止现在发明的更新可以分成俩大版本。。。。。。。。
版本一的更新包括：使用ecdh-P256举行密钥交流，，，， ，之后天生共享的chacha20密钥对网络通讯新闻加密；；；；；；；DNS-TXT纪录不再使用base64+chacha20解密，，，， ，使用base64+xor解密；；；；；；；新的攻击指令、新闻名堂
版本二的更新包括：精简网络协议，，，， ，删除ecdh-P256密钥交流历程，，，， ，；；；；；；；魔改xxhash算法用于验证新闻完整性；；；；；；；魔改RC4算法用于解密样本字符串和通讯key；；；；；；；
第一个版本只一连了半个月左右时间，，，， ，后续主要使用第二个版本样本。。。。。。。。下文以版本二的样本为主要剖析工具，，，， ，着重先容Aisuru的对抗手法，，，， ，加密算法以及网络协议。。。。。。。。
情形检测
样本启动后会检测目今历程下令行中是否包括以下字符串:
tcpdump
wireshark
tshark
dumpcap
检查内核的硬件标识信息是否包括以下字符串：
VMware
VirtualBox
KVM
Microsoft
QEMU
若是检查到上述情形，，，， ，则程序退出，，，， ，在一定水平上滋扰样本的动态剖析
Killer对抗
Linux 内核有一个 OOM Killer（Out-Of-Memory Killer），，，， ，当系统内存缺乏时，，，， ，它会挑选一些历程强制竣事来释放内存。。。。。。。。该样本通过在写入来禁用该功效，，，， ，以获取到更多的执行时间。。。。。。。。
/proc/self/oom_score_adj
-1000
正所谓的偕行是冤家，，，， ，每个Botnet Operator都想独吞装备，，，， ，关于装备的争取很是强烈，，，， ，一个装备今天属于A，，，， ，明天又被B入侵的情形司空见惯。。。。。。。。好比Aisuru和Rapperbot的在nvms9000装备的竞争上就很是白热化，，，， ，当Aisuru做为胜利方接受了装备后，，，， ，都要忍不住的跳出来讥笑Rapperbot，，，， ，贴脸开大。。。。。。。。
大部分僵尸网络样本为了多平台兼容性，，，， ，使用静态链接编译样本，，，， ，导致它们不使用任何共享库；；；；；；；别的还会在运行后删除自身文件。。。。。。。。但这也让不少僵尸网络将上述作为特征举行，，，， ，以击败自己的竞争敌手。。。。。。。。
kill
为了对抗上述killer，，，， ，样本启动后会在中搜索以最后的共享库文件并映射到目今历程中；；；；；；；不删除文件并将文件名替换为；；；；；；；历程名同样是被检查的重点工具，，，， ，样本将历程名替换为以下常见的历程名之一：
/lib/
.so
libcow.so
telnetd
udhcpc
inetd
ntpclient
watchdog
klogd
upnpd
dhclient
魔改的RC4加密算法
和之前的AIRASHI版内情比，，，， ，新样本解密字符串时也不再使用标准的RC4算法，，，， ，校验新闻时不再使用标准的HMAC-SHA256算法。。。。。。。。
新样本使用了魔改的RC4算法，，，， ，密钥为，，，， ，该密钥在多个版本中都没有转变，，，， ，或许是向Fodcha僵尸网络致敬。。。。。。。。算法保存了RC4的256字节的S盒，，，， ，在初始化和天生密钥流时增添新的扰动，，，， ，等效的Golang实现如下:
PJbiNbbeasddDfsc
func AIRASHI_RC4(data []byte) []byte {
key := make([]uint32, 4)
keyBytes := []byte("PJbiNbbeasddDfsc")
for i := 0; i < 4; i++ {
key[i] = binary.BigEndian.Uint32(keyBytes[i*4 : (i+1)*4])
S := make([]byte, 256)
i := 13
for j := 0; j < 256; j++ {
S[j] = byte(i & 0xff)
i -= 89
j := 0
for i := 0; i < 256; i++ {
j = (j + int(S[i]) + int(key[i%4]>>(i%32))) % 256
S[i], S[j] = S[j], S[i]
seed := uint32(0xE0A4CBD6)
for i := 0; i < 5; i++ {
for k := 0; k < 256; k++ {
seed = 0x41C64E6D*seed + 12345
t := (seed * uint32(S[k])) >> 24
t1 := (seed ^ key[(i+k)%4] ^ uint32(S[k])) & 0xff
S[k] = byte(t1)
j = (int(t1) + j + int(t)) & 0xff
S[k] = S[j]
S[j] = byte(t1)
i, j, k := 0, 0, 0
m := uint32(1)
result := make([]byte, 0, len(data))
for _, byteVal := range data {
i = (i + 1) % 256
j = (j + int(S[i])) % 256
k = (k + int(S[(i+j)%256])) % 256
S[i], S[j] = S[j], S[i]
m = rol32(m, 1)
if (m & 1) != 0 {
m ^= 0xD800A4
t := (S[(k+j)%256] + S[(j+i)%256]) & 0xff
t1 := ((byte(m) ^ S[t]) >> 4) ^ rol8(byte(m)^S[t], 3)&0xff
result = append(result, byteVal^t1)
return result
以下图的密文为例：
使用AIRASHI_RC4解密后，，，， ，我们获得的明文是一条充满寻衅意味的信息。。。。。。。。对此，，，， ，我们只想回应一句：“左右岂非是皮痒了？？？？？？ ？？”
tHiS mOnTh At qiAnXin shitlab a NeW aisurU vErSiOn hIt oUr bOtMoN sYsTeM dOiNg tHe CHAaCha sLiDe
翻译为中文为：本月在意昂体育-科技赋能场景,让娱乐更有趣!的shitlab，，，， ，一个新的Aisuru版本泛起在了意昂体育-科技赋能场景,让娱乐更有趣!BotMon系统，，，， ，正在跳ChaCha舞。。。。。。。。
虽然，，，， ，AISURU在样本中隐藏的信息远不止这一条。。。。。。。。感兴趣的读者可以自行对样本（MD5: 053a0abe0600d16a91b822eb538987bca3f3ab55）举行解密剖析。。。。。。。。一旦乐成解密，，，， ，你就会明确，，，， ，我们为何下定刻意要坚决攻击这一网络攻击团伙。。。。。。。。
C2获取
样本继续坚持之前的C2解密要领，，，， ，通过支解从字符串表中解密的C2字符串，，，， ，获得多个子域名和主域名，，，， ，再通过支解多个子域名，，，， ，示例如下：
decrypted str: sub1,sub2,sub3|domain.tld
c2_1: sub1.domain.tld
c2_2: sub2.domain.tld
c2_3: sub3.domain.tld
在剖析域名时，，，， ，仍使用加密的TXT纪录，，，， ，在之前的blog的样本中使用base64+ChaCha20举行解密，，，， ，新版本只是弃用了ChaCha20，，，， ，改用异或获取IP。。。。。。。。对C2解密感兴趣的读者，，，， ，可参阅Appendix章节的CyberChef，，，， ，只需要将C2的TXT纪录复制到INPUT即可。。。。。。。。
网速测试
开发者在最新的几个版本中，，，， ，加入了网络上传速率测试的功效，，，， ，该功效使用了的公共效劳
speedtest
GET /speedtest-servers-static.php 获取测试效劳器
GET /speedtest/latency.txt 获取延迟最低的效劳器
向延迟最低的效劳器POST随机数据，，，， ，时间为10s（部分样本为100ms）
但该功效并不会对程序运行和C2毗连方面爆发影响，，，， ，只是在获得效果后向C2报告。。。。。。。。我们以为测速这一新增添功效的的目的是为后续的署理指令效劳，，，， ，很显然C2会向一些网络优异的节点下发署理指令，，，， ，让其成为住宅署理中的一环。。。。。。。。
网络协议
协议方面和之前版内情比，，，， ，整体流程转变不大，，，， ，仍保存获取共享的ChaCha20密码、确认机制，，，， ，只是在新闻名堂和指令、加密算法方面做修改。。。。。。。。
新的新闻由三部分组成：新闻头、随机字节和新闻体，，，， ，如图所示是解密后的上线包：
新闻头长度牢靠为8字节，，，， ，由4个字段组成：
msgType(1byte) + randSize(1byte) + bodySize(2byte) + bodyHash(4byte)
上线包新增字段：
struct login{
uint32 stun_ip;
uint32 botid_len;
char botid[botid_len];
uint32 version;
uint32 nodename_len;
char nodename[nodename_len];
uint32 cwd_len;
char cwd[cwd_len];
uint32 kernel_ver_len;
char kernel_ver[kernel_ver_len];
uint16 reserve1;
uint8 reserve2;
bool support_udp;
新版本支持的指令及对应的功效形貌如下：
可以看出新样本不但支持DDoS攻击，，，， ，还支持Proxy。。。。。。。。随着全球执法机构对网络犯法的攻击力度一直加大，，，， ，网络犯法集团对匿名化效劳的需求日益增添。。。。。。。。正所谓有需求的地方，，，， ，就有利益。。。。。。。。僵尸网络控制的节点自然适合构建住宅署理，，，， ，从意昂体育-科技赋能场景,让娱乐更有趣!现在积累的案例来看，，，， ，这似乎是近年来DDoS圈的一个潮流，，，， ，把营业从简单的攻击，，，， ，扩展到网络署理。。。。。。。。
我们在中实现了Aisuru网络协议，，，， ，和预期一样，，，， ，不但吸收到通例的DDoS攻击指令，，，， ，还接到和Proxy相关的指令。。。。。。。。
XLab指令跟踪系统
很显然，，，， ，Aisuru 已不再知足于 DDoS 攻击这一简单营业模式，，，， ，最先涉足署理效劳领域，，，， ，试图充分使用其手中重大的节点资源，，，， ，以钻营更多经济利益。。。。。。。。
IoC
C2
coerece[.ilovegaysex[.su
approach[.ilovegaysex[.su
ministry[.ilovegaysex[.su
lane[.ilovegaysex[.su
a.6mv1eyr328y6due83u3js6whtzuxfyhw[.ru
Report/Download Server
u[.ilovegaysex[.su
updatetoto[.tw
Proxy Relay C2
194.46.59[.169 United Kingdom|England|Exeter AS206509|KCOM GROUP LIMITED
104.171.170[.241 United States|Virginia|Ashburn AS7922|Comcast Cable Communications, LLC
104.171.170[.253 United States|Virginia|Ashburn AS7922|Comcast Cable Communications, LLC
107.173.196[.189 United States|New York|Buffalo AS36352|ColoCrossing
64.188.68[.193 United States|District of Columbia|Washington AS46339|CSDVRS, LLC
78.108.178[.100 Czech Republic|Praha, Hlavni mesto|Prague AS62160|Yes Networks Unlimited Ltd
Sample
09894c3414b42addbf12527b0842ee7011e70cfd
51d9a914b8d35bb26d37ff406a712f41d2075bc6
616a3bef8b0be85a3c2bc01bbb5fb4a5f98bf707
ccf40dfe7ae44d5e6922a22beed710f9a1812725
26e9e38ec51d5a31a892e57908cb9727ab60cf88
08e9620a1b36678fe8406d1a231a436a752f5a5e
053a0abe0600d16a91b822eb538987bca3f3ab55
连忙拨打
京公网安备11000002002064号