69秒洪峰：三百万僵尸围城

概述：2025年第三季度，一个名为Aisuru的物联网僵尸网络把DDoS攻击纪录从6.5Tbps一路推高到29.7Tbps，69秒的UDP洪峰刷新了互联网历史；2026年1月，据CyberSecurity News报道，Aisuru/Kimwolf系攻击更是冲到31.4Tbps。3月19日，美国司法部联合加拿大、德国执法机构对Aisuru、KimWolf等四大僵尸网络收网——但三百万台被感染的摄像头和路由器，仍插在千家万户的插座上。本文解剖这场纪录之战，并回答一个通信工程师更关心的问题：为什么洪峰过境时，最先遭殃的总是运营商？

目录

• 一、69秒，29.7Tbps：一场创纪录攻击的解剖
• 二、纪录为何一路失守：从Mirai到Aisuru的十年换代
• 三、为什么先倒下的总是运营商
• 四、收网：2026年3月19日，四国联合行动
• 五、写给通信工程师的六道防线
• 六、结语：武器库就在用户家里

一、69秒，29.7Tbps：一场创纪录攻击的解剖

先把这场攻击的“体检报告”摆出来。根据Cloudflare 2025年第三季度DDoS威胁报告（2025年12月3日发布，其官方季度报告已持续到第23期），这次创纪录攻击的关键参数如下：

干过传输和数通的人看到这份表，第一反应应该是：这已经不是一个“安全事件”，这是一次对转发平面的饱和打击。每秒1.5万个随机目的端口意味着传统的“五元组ACL”基本失效——你不可能下发1.5万条精确匹配规则；随机化包属性则是专门冲着硬件ACL的TCAM表项和流哈希来的。69秒，比你的值班电话响完三声还短。

更可怕的是频率。Cloudflare的统计显示，2025年Q3这类超过1Tbps的“超大体量攻击”环比暴增227%，日均14场；超过1亿pps的攻击环比增长189%；UDP洪水攻击环比增长231%，成为网络层第一大攻击向量。整个Q3，Cloudflare全网自动拦截了830万场DDoS攻击，平均每小时3780场；2025年前三季度累计3600万场，相当于2024年全年的170%。

对运营商来说，这组数字的翻译很简单：洪峰不再是年度大戏，而是日常天气。

二、纪录为何一路失守：从Mirai到Aisuru的十年换代

把这几年的公开纪录连成一条线，能看到一条陡峭得反常的曲线：

一年之内，纪录翻了近五倍。这件事在工程上只有一种解释：攻击者的“发射机”数量出现了量级跃升。

发射机就是僵尸主机。按照Cloudflare的估计，Aisuru在全球控制着100万到400万台感染主机；而美国司法部2026年3月的公告给出了更惊人的口径——截至2026年3月，Aisuru、KimWolf、JackSkid、Mossad四大僵尸网络合计感染的全球设备超过300万台，仅美国就有数十万台。感染对象的主力，司法部原话是：DVR录像机、网络摄像头、WiFi路由器。

十年前的Mirai靠Telnet弱口令扫遍全网，写进了每本安全教材；Cloudflare的最新报告里，Mirai变体如今仍占网络层攻击的约2%。而Aisuru这一代把“供给侧”做成了流水线：司法部公告明确指控，KimWolf和JackSkid连传统上“处于防火墙保护之下”的设备都能感染渗透，然后再用“网络犯罪即服务”的模式，把僵尸设备的访问权限分块卖给其他犯罪者。Cloudflare的报告说得更直白：Aisuru的“分块”公然按块出租，几百到几千美元，就能买下一场足以瘫瘫一个国家骨干链路的攻击。

flowchart TD
    A["家庭设备群：DVR、摄像头、路由器"] -->|弱口令与未修补漏洞| B["被植入恶意程序"]
    B --> C["命令与控制 C2 网络"]
    C -->|分块出租| D["租用者"]
    C -->|自营勒索| E["勒索受害者"]
    D --> F["UDP地毯式轰炸"]
    E --> F
    F --> G["每秒约1.5万个随机端口"]
    F --> H["峰值每秒141亿个包"]
    G --> I["过境运营商互联链路"]
    H --> I
    I -->|不在打击名单上| J["非目标ISP连带扰动"]
    I --> K["anycast边缘自动清洗"]
    K --> L["业务无感，攻击者未达标"]

注意图中左上角那个节点——整个恐怖故事的起点，不在暗网，在你用户的电视柜里。

三、为什么先倒下的总是运营商

这一节是写给通信同行的心里话。Cloudflare Q3报告的“最受攻击行业”榜单上，电信业高居全球第二，仅次于IT服务业。但我们真正的困境，其实藏在报告引用KrebsOnSecurity的那句话里：Aisuru的攻击流量途经ISP网络时，仅仅因为“过境”，就造成了美国互联网的大范围连带性扰动——而这些ISP根本不是攻击目标。

把这句话翻译成运维语言，运营商在DDoS战场上有三重身份，每一重都疼：

第一重：武器库房东。 每一台被感染的摄像头，都挂在你家的接入网上，用着你分配的IP。僵尸主机对外发起洪峰时，你的上联链路成了兵营出操的操场。后果是双向的：出向带宽被自己用户吃掉，网内时延劣化、投诉上来；对端运营商和ICP把你列入信誉黑名单，反垃圾、反滥用组织开始给你发abuse工单。最极端的情形，司法部公告里写着——KimWolf和JackSkid能感染“防火墙后面”的设备，这对大量用私网地址加CGNAT做用户侧隔离的运营商来说，是明确的警讯。

第二重：靶子。 电信业是全球第二大被攻击行业。勒索逻辑很直白：Aisuru历史上就干过“不交钱就打到你交钱”的生意，司法部公告提到部分受害者损失达数万美元。而攻防成本严重不对称——租一场国家级攻击只要几百到几千美元，你的清洗带宽和应急加班却是按天、按人头烧钱。

第三重：过境公路。 这是最冤的一重。攻击目标是别的AS，洪峰却要从你互联的对等点上碾过去。你的回程链路、核心路由的转发芯片、互联口的缓冲队列，全在替别人的战争挨子弹。美国那波“大范围连带扰动”就是活教材。

还有一条对传统防御体系的“死刑判决”：Cloudflare统计显示，89%的网络层攻击和71%的HTTP攻击在10分钟内结束。回想我们熟悉的老剧本——告警响、值班拉群、电话联系清洗中心、人工下发牵引路由——这套流程走完，攻击者早已收工下班。按需清洗、按小时计费、人拉肩膀扛的打法，在69秒的洪峰面前，等于用消防水枪接龙去灭爆燃。

四、收网：2026年3月19日，四国联合行动

故事的转折发生在今年3月19日。美国司法部阿拉斯加州联邦检察官办公室发布公告：法院授权的执法行动当天同步打断Aisuru、KimWolf、JackSkid、Mossad四大物联网僵尸网络的命令与控制基础设施；国防部督察长办公室刑事调查局（DCIS）对多个美国注册域名、虚拟服务器等基础设施执行了查封令——法庭文件指控这些网络甚至曾攻击国防部信息网络（DoDIN）的IP。

这不是美国单打独斗。同一天，加拿大（皇家骑警RCMP、安大略省警OPP、魁北克省警SQ）和德国（联邦刑事警察局BKA、科隆检察院）对僵尸网络运营者和基础设施采取行动，欧洲刑警组织PowerOFF团队协同。公告致谢名单里有一串熟悉的名字：Cloudflare、Akamai、Google、AWS、Lumen、诺基亚、Shadowserver基金会、Team Cymru、Unit 221B等——设备商、云商、CDN、情报机构罕见地同框。

四个网络的“战功簿”由司法部公告给出，触目惊心：

必须冷静评估这次收网的意义。查封C2域名、扣押虚拟服务器，能切断命令下发通道、阻止继续感染，这是实打实的战果；但300万台“肉鸡”原封不动地插在用户的墙插上——固件还是那个漏洞固件，密码还是那个出厂密码。只要操作者没落网（公告对境外嫌疑人只字未提定罪），换一批域名重建C2，僵尸军团就能重新点兵。Mirai被“剿灭”十年后的今天，它的变体还在Cloudflare的攻击向量统计里占着2%的席位——这就是僵尸网络的生命周期：执法只能制造扰动，设备侧 hygiene 才能釜底抽薪。

五、写给通信工程师的六道防线

结合这场纪录之战，把运营商侧能做的事整理成六道防线。下表是骨架，后面说重点：

三件事值得展开说。

第一，CPE治理是治本，而且监管已经上强度。 英国早已立法禁止消费联网设备保留默认密码，欧盟网络弹性法案（CRA）的合规义务也在路上；欧盟NIS2则把电信运营商和DNS服务商列为关键实体，重大事故有24小时内早期预警、72小时内正式通报的硬性时限。换句话说，“用户家里的摄像头不归我管”这句话，监管不认。运营商手里其实有牌：家宽网关是自家的，固件推送通道是自己的，装维上门是常态——把“弱口令检测+强制改密+固件升级”做成入网标配，比任何清洗带宽都便宜。

第二，缓解必须是“机器速度”。 既然89%的攻击活不过10分钟，凡是需要人批准的防御动作都注定迟到。落地路径是现成的：边缘路由器支持Flowspec按前缀/端口/包长下发限流，配合RTBH做保底黑洞，anycast把洪峰摊到全球节点去消化——Cloudflare能全自动接下29.7Tbps，靠的就是分布式网络加自动规则，不是多雇了几百个值班员。中小运营商哪怕只做两条——关键业务前缀预先登记、与上游签好自动触发的限流预案——也能把69秒的存活率拉高一截。

第三，入向和出向要当作一张网来运维。 传统安全团队盯入向，网络团队盯出向，结果僵尸主机在自己的网内快乐地参加“阅兵”没人管。把僵尸主机情报（Shadowserver这类组织免费提供感染IP通报）接进家宽运维工单系统，把被感染用户的“通知-整改-复测”做成闭环，既是自救，也是对abuse投诉和信誉黑名单的正本清源。

flowchart TD
    subgraph OUT["出向：管好自家武器库"]
        A["家庭网关与物联网设备"] --> B["禁用默认口令"]
        A --> C["固件自动修复"]
        A --> D["uRPF 源地址校验"]
    end
    subgraph IN["入向：69秒内完成自救"]
        E["互联点洪峰"] --> F["指纹识别自动规则"]
        F --> G["Flowspec 边缘限流"]
        F --> H["anycast 分散吸收"]
        G --> I["业务恢复无感"]
        H --> I
    end

六、结语：武器库就在用户家里

复盘这一年：纪录从6.5Tbps到31.4Tbps翻了近五倍，攻击从“偶发事件”变成“日常天气”，电信业坐上最受攻击行业第二把交椅，最后靠一场横跨三国的执法行动才按住C2的暂停键——但三百万台摄像头和路由器，依然在千家万户里安静地亮着灯。

给同行三句话收尾：

1. DDoS已经不是“别人的安全事件”。 你的用户就是对方的兵源，你的互联链路就是对方的公路，指望“目标不是我”来豁免，Cloudflare引用的那次美国全网连带扰动已经给出了答案。
2. 按攻击的“旧尺寸”设计的防御必须重估。 69秒、29.7Tbps、每秒1.5万个随机端口——清洗中心的电话号码再熟，也赶不上机器下规则的速度。
3. 真正的决胜局在设备侧。 执法行动按下的只是暂停键；默认口令禁令、固件强制升级、弱口令入网检测，才是让下一代Aisuru招不到兵的釜底抽薪。

洪峰还会再来，纪录还会再破。区别只在于：下一次69秒过去之后，你的网是那家“业务无感”的，还是新闻里那家“大范围扰动”的。

参考来源

1. Cloudflare 2025 Q3 DDoS威胁报告：Aisuru，僵尸网络之巅 — 本文主轴来源：29.7Tbps/141亿pps纪录细节、超大体量攻击环比+227%、电信业居最受攻击行业第二、攻击租用价格等均出自此报告
2. 美国司法部公告：当局打断全球最大物联网DDoS僵尸网络 — 2026年3月19日收网行动官方通报：四大僵尸网络、超300万台感染设备、攻击指令数、多国协同细节
3. Cloudflare：如何拦下7.3Tbps的巨型DDoS攻击 — 2025年6月披露，纪录演进曲线的关键一环
4. SecurityAffairs：Cloudflare拦下Aisuru僵尸网络29.7Tbps纪录攻击 — 69秒持续时间等披露细节的独立报道
5. CyberSecurity News：31.4Tbps！Aisuru/Kimwolf再破世界纪录 — 2026年1月最新纪录（据报道，未经官方全文证实）

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。