# 31.4Tbps：史上最大DDoS复盘 **概述**：2025年12月19日，代号「圣诞前夜」的攻击行动向Cloudflare的基础设施灌入了峰值31.4Tbps的洪流，并在HTTP层打出每秒超过2亿请求——这是迄今公开披露的最大规模DDoS攻击。驱动它的，是一个感染了数百万台摄像头、路由器和电视盒子的IoT僵尸网络家族（Aisuru/Kimwolf）。本文复盘这场攻防的时间线、僵尸网络的工业化路径、运营商为何总是前排挨打，以及这场仗给宽带网络运维留下的实操清单。 ## 目录 - 一、纪录四连跳：18个月，洪峰放大九倍 - 二、解剖Aisuru：一台固件服务器的沦陷 - 三、运营商为什么总是前排挨打 - 四、防御重构：把响应速度卷进亚分钟 - 五、第三条战线：收网、披露与IoT新规 - 六、写在割接本上的六条建议 - 结语：洪峰不会停，深度防御才会 ## 一、纪录四连跳：18个月，洪峰放大九倍 如果把DDoS世界的「最高水位线」画成曲线，2025年是人类互联网有记录以来最陡的一段。 据Cloudflare披露、BleepingComputer等媒体2025年9月23日报道：Cloudflare成功缓解了一次峰值**22.2Tbps、每秒106亿包**的体积型DDoS攻击，持续时间仅40秒，攻击规模相当于**100万路4K视频同时点播**。而这已经是当年第三次破纪录——据同文回顾，2025年年中Cloudflare刚处理过7.3Tbps的攻击；三周前（2025年9月初）又披露了一次11.5Tbps、每秒51亿包的攻击，奇安信XLab团队将其溯源到名为**Aisuru**的僵尸网络。 真正的天花板在三个月后到来。据Cybersecurity News、The Hacker News等多家媒体2026年1月底至2月初报道：Aisuru/Kimwolf僵尸网络自2025年12月19日起发起代号「圣诞前夜」（The Night Before Christmas）的连续攻击，对Cloudflare及其客户打出**峰值31.4Tbps的L4洪流，叠加每秒超过2亿次的HTTP洪水**——L7层的2亿rps同样是公开披露的最高纪录。按同样口径换算，31.4Tbps约等于140万路4K视频同时开播。 值得注意的是40秒这个数字。对人类而言，告警还没看完，攻击已经结束；对全网自动化的缓解系统而言，40秒够跑完「识别—分发—清洗」的全部流程。这场仗从头到尾都是机器对机器的——这一点后面还会展开。 | 时间 | 峰值带宽 | 峰值包速率/请求速率 | 备注 | |---|---|---|---| | 2025年5月 | 6.35Tbps | — | Aisuru攻击KrebsOnSecurity网站，为Google Project Shield当时处理过的最大攻击（据Krebs自述） | | 2025年年中 | 7.3Tbps | — | Cloudflare披露，当时破纪录（据BleepingComputer） | | 2025年9月初 | 11.5Tbps | 51亿包/秒 | XLab溯源至Aisuru僵尸网络（据Cloudflare/奇安信XLab） | | 2025年9月23日披露 | **22.2Tbps** | **106亿包/秒** | 持续40秒，Cloudflare史上最大（据Cloudflare） | | 2025年12月19日起 | **31.4Tbps** | HTTP超2亿次请求/秒 | 「圣诞前夜」行动，公开披露史上最大（据Cybersecurity News/The Hacker News） | 半年之内，公开纪录翻了四倍多；把时间轴拉长到2021年（微软Azure披露的3.47Tbps），四年多的时间洪峰放大了约九倍。这不是渐进式增长，而是攻击供给侧的换挡。 ## 二、解剖Aisuru：一台固件服务器的沦陷 Aisuru的故事，几乎是一部IoT安全欠账的浓缩史。 据BleepingComputer援引奇安信XLab的分析：Aisuru在2024年年底浮出水面，2025年4月出现感染量暴增——导火索是**Totolink路由器的固件升级服务器被攻陷**。升级通道一旦失守，厂商自己的分发体系就成了木马投递网络，这是比单个漏洞被利用更可怕的事情：它意味着攻击者拥有了「官方渠道」。此后Aisuru持续感染IP摄像头、DVR/NVR录像机、Realtek方案芯片设备，以及Zyxel、D-Link、Linksys等厂商的多款路由器。到2025年9月，XLab估计其全球感染设备已超过**30万台**。 30万台听起来不多，但账不能这么算：一台家庭摄像头的上行带宽虽小，几十万台同时以UDP小包灌向同一目标，叠加起来就是每秒上百亿包——DDoS的历史一再证明，**攻击者的算力不需要强，只需要多**。 更值得运维同行警惕的是它的「繁殖方式」。据KrebsOnSecurity 2026年3月19日报道（援引美国司法部通报）：2025年10月，攻击者利用Aisuru播撒出变种**Kimwolf**，后者引入了一种新颖的传播机制——**能够穿透用户内网，感染隐藏在家庭路由器NAT保护之后的设备**。传统认知里，「内网设备不直接暴露公网」是默认安全边界，Kimwolf把这个假设直接击穿。2026年1月2日，安全公司Synthient公开披露了Kimwolf利用的传播漏洞，其扩散势头才被压制；但据司法部通报，随后又有多支僵尸网络复制了同样的手法，争夺同一批易感设备。 僵尸网络的另一面是勒索生意。据司法部通报，这批网络的控制者发动了数十万次攻击，**常以勒索付款为目标**，有受害者报告了数万美元的损失与处置费用——从「炫技」到「变现」，IoT僵尸网络已经完成了商业化闭环。 ## 三、运营商为什么总是前排挨打 Cloudflare能扛住31.4Tbps，靠的是分布在全球数百个节点的anycast网络，把一点洪峰稀释成全球细雨。但这个能力，运营商骨干网并不天然具备。 先算一笔物理账。一家省级宽带运营商对外的互联总带宽，通常在几Tbps量级；一家全国性ISP的Transit+Peering总和，一般也就是几十Tbps。**31.4Tbps，相当于把一家中型国家骨干网的全部对外管道一次性灌满**。如果这样的洪峰对准的不是Cloudflare，而是某家ISP的DNS递归集群、BRAS/CGNAT资源池或IXP接入端口，剧本就完全不同了：互联带宽打满→递归DNS超时→全网用户「有信号、上不了网」→客服话务量爆炸。这不是危言耸听——据KrebsOnSecurity 2025年10月报道，Aisuru当年就曾对多家美国ISP发起创纪录规模的集中攻击。 第二个账是包速率。22.2Tbps若由小包构成，对应每秒106亿包，这个数字的杀伤对象不是光纤，而是**设备转发平面**：路由器与防火墙的百万级到千万级PPS处理预算、会话表容量、ACL/Flowspec条目规模，都会在洪峰下见底。很多老网工见过这样的场景：带宽监控明明还有余量，业务却已经抖动——那就是包速率或会话数先于带宽触顶。 第三个账最棘手：**流量源是真实的住宅用户IP**。Mirai时代的反射放大攻击靠伪造源地址，运营商用uRPF、反欺骗过滤就能掐掉大半。而Aisuru/Kimwolf是百万台真机直灌，源地址全部合法、分布在千家万户，反欺骗防线完全失效——你总不能把自己用户的整个城域网段RTBH掉。更麻烦的是，肉鸡就在你的接入网里：Kimwolf甚至在内网横向传播，意味着攻击流量在冲出你的上行口之前，就已经在占用OLT上联和汇聚带宽。**运营商不再只是DDoS的受害者，同时也是僵尸网络的宿主**——这是这轮攻击潮给电信网络重新定义的角色。 ```mermaid flowchart TD A["百万级IoT设备
摄像头/路由器/NVR"] --> B["弱口令与固件漏洞
被批量植入木马"] B --> C["Aisuru与Kimwolf
僵尸网络控制端"] C --> D["2025年12月19日
圣诞前夜行动"] D --> E["31.4Tbps洪流
叠加2亿次/秒HTTP"] E --> F["云端目标
anycast稀释成细雨"] F --> G["自动化清洗
客户业务无感"] E --> H["若目标是ISP
互联带宽瞬间打满"] H --> I["递归DNS与CGNAT过载
全省用户上不了网"] H --> J["肉鸡藏在接入网里
OLT上联先被吃满"] ``` ## 四、防御重构：把响应速度卷进亚分钟 面对「40秒打完收工」的对手，人类的审批流和工单流已经彻底出局。防御体系必须按机器速度重构，Cloudflare对这两次破纪录攻击的表述都是「autonomously mitigated」（自主缓解）——识别、决策、下发全链路无人工介入。对运营商，可用的工具箱其实是成熟的，问题在于各层是否真的串了起来： | 手段 | 原理 | 生效速度 | 局限 | |---|---|---|---| | anycast分流 | 把攻击稀释到全球/全国多节点 | 秒级 | 只对自建anycast业务有效，普通企业客户没有 | | 上游联动清洗 | 通过Transit运营商在源头净化 | 分钟级 | 依赖合同与服务等级约定，洪峰大时上游也会过载 | | Flowspec/BGP下毒 | 向全网设备下发流规则拦截 | 分钟级 | 规模条目有限，误杀会放大成事故 | | RTBH黑洞路由 | 把目标前缀吸引到黑洞 | 秒级 | 粒度太粗，等于「放弃目标保全网」 | | 本地清洗中心 | 深度包检测+行为模型旁路/串接 | 秒到分钟 | 容量有上限，31Tbps量级吃不下 | | 接入网侧治理 | 识别并隔离网内肉鸡、封堵C2 | 小时到天级 | 治本但慢，涉及用户沟通与合规 | 真正的重点是把这几层**预编排**起来：阈值触发→自动申请上游清洗→同步Flowspec→告警闭环，整个剧本在洪峰到来之前就演练过，而不是攻击发生时再拉会。40秒的攻击意味着SOC值班员的反应时间预算是零，**预案必须是可自动执行的，人工只负责事后审计**。另外，包速率维度的监控（PPS、新建会话速率、DNS查询速率）必须和带宽监控同级告警——只看Gbps曲线，会在洪峰到达时瞎掉。 ## 五、第三条战线：收网、披露与IoT新规 纯技术防御追不上感染速度，所以这场仗一定有三条战线。 第一条是执法。据KrebsOnSecurity 2026年3月19日报道：美国司法部联合加拿大、德国执法机构，拆除了Aisuru、Kimwolf、JackSkid、Mossad四个僵尸网络的在线基础设施——据司法部通报，这四个网络累计感染**超过300万台IoT设备**，分别下达过20万、2.5万、9万和约1000次攻击指令。行动由国防部监察长办公室的DCIS主导（起因是针对国防部地址段的攻击），FBI安克雷奇办事处参与，近二十家科技公司协助。KrebsOnSecurity后续查明，Kimwolf的核心运营者是一名22岁的加拿大男子，另一名主要嫌疑人是一名住在德国的15岁少年——供应链上端，可能只是两个年轻人。 第二条是披露。Synthient在2026年1月2日公开Kimwolf的传播漏洞，直接压制了其扩散——这符合安全社区的老规律：**一个被公开分析的漏洞，比十个未披露的IOC更值钱**。 第三条是监管。IoT僵尸网络的弹药库就是出厂弱口令和永不更新的固件，监管正在收口：英国自2024年起实施PSTI法案禁止设备出厂默认密码；欧盟《网络弹性法案》（CRA）按时间表在2026年9月11日正式启用了在野漏洞与严重安全事件的快速上报义务，主要合规义务将在2027年12月落地。对运营商而言，这意味着设备侧的安全责任正在从「用户自己的事」变成产业链共担——宽带运营商被推到一线，只是时间问题。 顺带回应一个行业焦虑：AI在这场攻防里的角色。目前公开可验证的事实是，防御侧的自动化缓解（如Cloudflare的自主缓解系统）已经在顶住史上最大攻击；而攻击侧的主力仍是传统漏洞利用与弱口令扫描，尚未出现AI驱动的质变。但方向不难判断——当防御全部机器化，攻击侧的自动化只是时间问题。 ## 六、写在割接本上的六条建议 以一个老网优/核心网运维的视角，给宽带网络同行留下几条可以直接进周会的建议： 1. **告警分层加一维「包速率」**：PPS、新建会话速率、DNS qps与Gbps同级监控、同级告警，清洗阈值按包速率而非带宽设定。 2. **把Flowspec当危险武器管理**：预生成模板、限定条目上限、双人复核下发，每次演练都验证「误杀回滚」路径。 3. **与上游签订清洗联动条款并演练**：洪峰超过本地容量是迟早的事，合同里的响应时限要 drilled 过，而不是出事时翻出来读。 4. **递归DNS做成分布式+限速**：递归集群物理分散到多个大区，开启响应率限制（RRL），关闭一切不必要的区域传送与开放解析。 5. **接入网肉鸡治理立项**：基于NetFlow/信令面异常（对内横向扫描、异常外联）识别感染终端，联动装维工单换机换密——这是把攻击扼杀在自己网里的唯一路径。 6. **预案以「40秒」为设计目标**：所有抗D预案问一句——如果攻击只持续40秒，我们的系统自己能不能扛过去？答不上来就改造。 ## 结语：洪峰不会停，深度防御才会 从7.3Tbps到31.4Tbps只用了半年，从Mirai到「圣诞前夜」只用了十年。弹药是几百万台没人升级的摄像头，操盘手可能是两个未成年的孩子，而挡住洪峰的是一套完全自动化的全球清洗体系。这场攻防给电信网络的启示并不新鲜，只是这次格外刺眼：**安全不再是一台防火墙的事，而是从设备出厂、接入网治理、骨干编排到跨国执法的全链条战争**。运营商站在这条链的中间——既是受害者，也是守门人。把接入网里的每一台肉鸡当成分了自己的警报，也许才是这场洪峰留下的最真实遗产。 ## 参考来源 1. [Cloudflare mitigates new record-breaking 22.2 Tbps DDoS attack — BleepingComputer](https://www.bleepingcomputer.com/news/security/cloudflare-mitigates-new-record-breaking-222-tbps-ddos-attack/) — 22.2Tbps/106亿包攻击细节、2025年纪录时间线、XLab对Aisuru的溯源分析 2. [31.4 Tbps DDoS Attack Via Aisuru Botnet Breaks Internet With New World Record — Cybersecurity News](https://cybersecuritynews.com/31-4-tbps-ddos-attack/) — 「圣诞前夜」行动31.4Tbps峰值与2亿rps HTTP洪水的公开披露 3. [AISURU/Kimwolf Botnet Launches Record-Setting 31.4 Tbps DDoS Attack — The Hacker News](https://thehackernews.com/2026/02/aisurukimwolf-botnet-launches-record.html) — 31.4Tbps攻击与2025年DDoS攻击总量统计（4710万次） 4. [DDoS Botnet Aisuru Blankets US ISPs in Record DDoS — KrebsOnSecurity](https://krebsonsecurity.com/2025/10/ddos-botnet-aisuru-blankets-us-isps-in-record-ddos/) — Aisuru对多家美国ISP的创纪录集中攻击，以及5月针对Krebs自身6.35Tbps攻击的亲历记录 5. [Feds Disrupt IoT Botnets Behind Huge DDoS Attacks — KrebsOnSecurity](https://krebsonsecurity.com/2026/03/feds-disrupt-iot-botnets-behind-huge-ddos-attacks/) — 美加德三国联合收网四大僵尸网络、司法部通报细节与嫌疑人背景调查 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。