Aisuru (également appelé AIRASHI, et Aisuru-Kimwolf) est une famille de botnets visant les objets connectés, apparue en 2023-2024 et dérivée du code source du botnet Mirai. Spécialisé dans les attaques par déni de service distribué (DDoS) et dans la location d'appareils compromis comme proxys résidentiels, il est à l'origine de la totalité des records mondiaux de volumétrie DDoS enregistrés entre 2025 et 2026, jusqu'à une attaque mesurée à .
Kimwolf désigne la branche du botnet spécialisée dans les appareils Android, principalement des boîtiers de télévision connectée bon marché. Kimwolf s'est séparée d'Aisuru en août 2025 tout en restant exploitée par une partie des mêmes opérateurs. Les deux réseaux ont infecté ensemble plus de trois millions d'appareils selon le Département de la Justice des États-Unis.
Le 19 mars 2026, une opération judiciaire internationale associant les États-Unis, le Canada et l'Allemagne a perturbé l'infrastructure d'Aisuru, de Kimwolf et de deux botnets apparentés. L'administrateur présumé de Kimwolf est arrêté à Ottawa en mai 2026. Ces actions ne font pas disparaître la menace : à l'été 2026, l'infrastructure d'Aisuru avait plus que doublé par rapport à son niveau d'avant le démantèlement.
Contexte
L'héritage de Mirai Le code source du botnet Mirai, divulgué publiquement en 2016 après les attaques contre Dyn et le site de Brian Krebs, donne naissance à des centaines de variantes exploitant les identifiants par défaut et les firmwares obsolètes des équipements grand public. Aisuru s'inscrit dans cette filiation et conserve les modules d'inondation UDP, TCP, GRE et DNS du Mirai original, auxquels ses auteurs ont ajouté de nouveaux vecteurs.
La classe « TurboMirai » En octobre 2025, l'équipe ASERT de Netscout forge le terme « TurboMirai » pour désigner « cette classe générale de botnets DDoS variantes de Mirai capables de générer des attaques en chemin direct de plusieurs térabits par seconde et de plusieurs gigapaquets par seconde ». La rupture par rapport à Mirai n'est pas seulement quantitative : chaque nœud produit beaucoup plus de trafic, ce qui permet d'atteindre des volumes sans précédent avec un nombre d'appareils relativement modeste, et rend les attaques dommageables pour les réseaux hébergeant les machines infectées autant que pour les cibles.
Historique
Émergence et premières campagnes (2023-2024) Le premier échantillon connu du malware, alors nommé NAKOTNE, est capturé en octobre 2023 par les chercheurs de XLab (QiAnXin).
Le botnet acquiert une visibilité publique entre le 24 et le 26 août 2024, lorsqu'il lance quatre vagues d'attaques contre les plateformes de distribution du jeu Black Myth: Wukong, dont Steam et les serveurs chinois de Perfect World. Les vagues sont calées sur les heures de pointe de jeu de chaque région. XLab dénombre environ 280 000 instructions d'attaque émises et 107 adresses IP visées dans treize pays. Le botnet revendique alors plus de 30 000 machines et une capacité de 1,3 à .
Les opérateurs adoptent d'emblée une posture de provocation envers les chercheurs : les binaires contiennent des chaînes de caractères injurieuses les visant nommément, et l'un des domaines de commande imite le pseudonyme d'un analyste. C'est également par ce canal qu'ils imposent le nom du botnet, en inscrivant dans le code : « dear researcher (xlab, foxnointel, ...), please refer to this malware as AIRASHI. thank you! ».
Entre septembre et décembre 2024, XLab documente une succession rapide de variantes : arrêt temporaire des attaques, apparition d'une version « kitty », ajout d'un module proxy SOCKS5 fin octobre, puis séparation entre les branches AIRASHI-DDoS et AIRASHI-Proxy en décembre. Cette bifurcation entre capacité offensive et service de proxy préfigure le modèle économique ultérieur du botnet.
Industrialisation et attaque de la chaîne d'approvisionnement (2025) En avril 2025, l'opérateur connu sous le pseudonyme « Tom » compromet le serveur de mise à jour de firmware du fabricant de routeurs Totolink. L'URL de mise à jour est détournée pour distribuer un script malveillant : tout routeur effectuant une mise à jour de routine se trouve automatiquement infecté. Le domaine utilisé est enregistré le 25 avril 2025 et le script déployé dès le lendemain ; entre le 29 avril et le 30 mai, le domaine atteint le rang mondial 672 588 en volume de requêtes. La vulnérabilité a depuis été corrigée.
Cette attaque de la chaîne d'approvisionnement fait franchir au botnet le seuil des 100 000 machines, puis d'environ 300 000 nœuds actifs en septembre 2025. L'arrestation, le 6 août 2025, d'Ethan J. Foltz, opérateur présumé du botnet concurrent Rapper Bot, accélère encore la croissance d'Aisuru, qui absorbe rapidement les appareils vulnérables laissés sans contrôleur. Chris Formosa, de Lumen Technologies, estime que « l'arrestation du responsable de Rapper Bot en août a ouvert la voie à Aisuru et Kimwolf pour atteindre leur pleine puissance ».
Scission de Kimwolf (août 2025) En août 2025, une branche du botnet se sépare d'Aisuru pour cibler exclusivement l'écosystème Android, et en particulier les boîtiers de télévision connectée bon marché fonctionnant sous AOSP sans certification Play Protect. Cette branche prend le nom de Kimwolf. Elle attire l'attention des chercheurs en octobre 2025 lorsque ses domaines de commande occupent temporairement la première place du classement mondial des domaines les plus consultés de Cloudflare.
En quelques semaines, Kimwolf dépasse deux millions d'appareils infectés, avec de fortes concentrations au Viêt Nam, au Brésil, en Inde et en Arabie saoudite.
Bascule vers les proxys résidentiels (octobre 2025) Le 28 octobre 2025, Brian Krebs révèle qu'Aisuru a été remanié pour soutenir « une activité plus discrète, plus lucrative et plus pérenne » : la location de centaines de milliers d'appareils compromis à des services de proxy dit « résidentiel », qui permettent à leurs clients de faire passer un trafic malveillant — credential stuffing, web scraping, fraude bancaire — pour celui d'internautes ordinaires. Sur une fenêtre de quatre-vingt-dix jours, la société Spur observe alors 250 millions d'adresses IP de proxys résidentiels distinctes, un niveau sans précédent.
L'affaire du classement Cloudflare (octobre-novembre 2025) Début octobre 2025, les opérateurs font basculer la résolution de noms du botnet du service DNS de Google vers celui de Cloudflare. Le volume de requêtes est tel que les domaines malveillants d'Aisuru se hissent en tête du classement public des domaines les plus consultés de l'entreprise. Matthew Prince, directeur général de Cloudflare, y voit une manœuvre à double détente : « l'attaquant génère simplement une tonne de requêtes, peut-être pour influencer le classement, mais aussi pour attaquer notre service DNS ». Cloudflare procède par étapes — avertissement, occultation partielle, puis masquage complet des noms sur la version web du classement — une gestion critiquée comme portant atteinte à l'intégrité de ses propres données.
Pénétration des réseaux d'entreprise et d'administration (janvier 2026) Le 20 janvier 2026, une enquête de KrebsOnSecurity s'appuyant sur les données d'Infoblox et de Spur montre que Kimwolf ne se contente pas d'infecter des appareils domestiques : en s'appuyant sur les points de sortie des réseaux de proxys commerciaux, le malware fait suivre des commandes de balayage vers les réseaux locaux situés derrière ces adresses. Près d'un quart des clients d'Infoblox ont vu des requêtes vers des domaines Kimwolf depuis le 1 octobre 2025 ; plus de 33 000 adresses sont concernées dans des universités, et environ 8 000 proxys sont identifiés à l'intérieur de réseaux gouvernementaux américains et étrangers, dont 298 réseaux administratifs — pour beaucoup rattachés au Département de la Défense des États-Unis —, 318 entreprises de services publics, 166 entités de santé et 141 sociétés financières.
Saturation du réseau I2P (février 2026) À partir du 3 février 2026, les utilisateurs du réseau d'anonymisation I2P signalent des perturbations majeures. Les opérateurs de Kimwolf, dont l'infrastructure de commande est alors sous pression, tentent d'utiliser I2P comme canal de secours : environ 700 000 nœuds infectés cherchent à rejoindre simultanément un réseau qui n'en compte habituellement que 15 000 à 20 000. L'événement s'apparente à une attaque Sybil involontaire. Lance James, fondateur d'I2P, indique que le réseau fonctionne « à environ la moitié de sa capacité normale ».
Records d'attaques par déni de service
Entre mai 2025 et novembre 2025, Aisuru et sa branche Kimwolf établissent successivement tous les records publics de volumétrie DDoS.
+ Principales attaques attribuées à Aisuru / Kimwolf Date Débit crête Cible Mitigation Durée Remarques 13 janvier 2025 (270 Mpps) Démonstration — — Capacité annoncée par les opérateurs 12 mai 2025 (585 Mpps) KrebsOnSecurity.com Google Project Shield ~45 s Record pour Project Shield à l'époque 2 septembre 2025 (5,1 Gpps) Non divulguée Cloudflare ~35 s Attribution à Aisuru non confirmée par Cloudflare ~24 septembre 2025 (10,6 Gpps) Opérateur d'infrastructure européen Cloudflare 40 s Plus de 404 000 IP sources non usurpées ; carpet bombing sur ~31 000 ports par seconde 6 octobre 2025 Serveur de mesure — Quelques secondes Cloudflare relève 29,7 Tbit/s et 14,1 Gpps sur le trimestre 8 octobre 2025 > TCPShield (Minecraft) Global Secure Layer — Résiliation du client par son fournisseur amont OVH 24 octobre 2025 (3,64 Gpps) Point de terminaison unique en Australie Microsoft Azure DDoS Protection — Plus de 500 000 IP sources ; plus grande attaque jamais observée sur un cloud public 19 décembre 2025 Pics à (205 M req/s) Télécoms et services informatiques Cloudflare Campagne Campagne dite « The Night Before Christmas » Novembre 2025 (révélé le 29 janvier 2026) Opérateurs télécoms et organisations informatiques Cloudflare 35 s Record mondial à septembre 2026 ; certaines sources rattachent ce pic à la campagne de décembre 2025
Cloudflare décrit Aisuru comme « l'apex des botnets » et recense 1 304 attaques hypervolumétriques attribuées au réseau pour le seul troisième trimestre 2025, soit une moyenne de quatorze par jour.
Fonctionnement technique
Vecteurs d'infection Aisuru se propage principalement par l'exploitation de vulnérabilités connues et d'identifiants par défaut sur des équipements grand public. XLab documente notamment l'usage des failles suivantes :
+ Vulnérabilités exploitées (liste non exhaustive) Équipement Identifiant D-Link DCS-3411 Linksys X3000 T-Mobile TM-AC1900 Cambium Networks cnPilot R190V et une faille inédite (zero-day) Nexxt Router UNIMO DVR Zyxel ATP / USG FLEX / VPN / ZyWALL Realtek rtl819x Jungle SDK TBK DVR Totolink Compromission du serveur de mise à jour (avril 2025) A-MTK, LILIN DVR, AVTECH, Shenzhen TVT, OptiLink ONT Exécution de code à distance, sans identifiant public
Kimwolf emprunte une voie différente et originale : plutôt que de balayer l'Internet public, il détourne des services commerciaux de proxys résidentiels — au premier rang desquels IPIDEA — pour transmettre ses commandes depuis l'intérieur des réseaux locaux, où il cherche des instances non authentifiées d'Android Debug Bridge (ADB) sur les boîtiers Android. Le BSI allemand mentionne également la préinstallation en usine du logiciel sur certains appareils.
Infrastructure de commande et de contrôle Le rapport publié par Nokia Deepfield le 20 mars 2026 relie cinq familles de malwares (Aisuru, Kimwolf, JackSkid, MossadProxy et Cecilio) par une empreinte cryptographique commune — une variante de RC4 à cinq passes utilisant une graine identique — et décrit cinq canaux de commande indépendants : enregistrements DNS TXT, DNS over HTTPS, résolution de noms Ethereum Name Service, domaines de premier niveau OpenNIC et protocole binaire chiffré propriétaire.