Autorità statunitensi, canadesi e tedesche smantellano quattro botnet IoT responsabili di attacchi DDoS

Le autorità statunitensi, in collaborazione con Canada e Germania, hanno smantellato l'infrastruttura online di quattro botnet IoT responsabili di attacchi DDoS di portata record. Secondo quanto riportato dal Dipartimento di Giustizia degli Stati Uniti, le reti denominate Aisuru, Kimwolf, JackSkid e Mossad hanno compromesso oltre tre milioni di dispositivi, tra router e telecamere di rete.

Le botnet sono state utilizzate per lanciare centinaia di migliaia di attacchi DDoS, spesso accompagnati da richieste di estorsione. Le vittime hanno segnalato perdite economiche che vanno da decine di migliaia a centinaia di migliaia di dollari, oltre ai costi di risanamento.

Il botnet più attivo, Aisuru, ha emesso oltre 200.000 comandi di attacco, seguito da JackSkid con almeno 90.000 attacchi. Kimwolf ha lanciato oltre 25.000 attacchi, mentre Mossad è stato responsabile di circa 1.000 attacchi digitali.

L'operazione congiunta, coordinata dal Defense Criminal Investigative Service (DCIS) del Dipartimento della Difesa statunitense, ha portato al sequestro di domini, server virtuali e altre infrastrutture coinvolte negli attacchi. L'obiettivo era interrompere la diffusione delle infezioni e limitare la capacità delle botnet di lanciare nuovi attacchi in futuro.

Il caso è stato condotto dal DCIS con il supporto dell'FBI e di quasi due dozzine di aziende tecnologiche. Rebecca Day, agente speciale responsabile dell'FBI di Anchorage, ha dichiarato: «Lavorando a stretto contatto con il DCIS e i nostri partner internazionali, abbiamo identificato e dismesso l'infrastruttura criminale utilizzata per attacchi DDoS su larga scala».

Aisuru è emerso alla fine del 2024 e, entro metà 2025, era già responsabile di attacchi DDoS senza precedenti. A ottobre 2025, la botnet ha dato origine a Kimwolf, una variante che ha introdotto un nuovo meccanismo di diffusione, consentendo di infettare dispositivi nascosti dietro reti locali protette.

Nel gennaio 2026, la società di sicurezza Synthient ha reso pubblica la vulnerabilità sfruttata da Kimwolf per diffondersi rapidamente. Nonostante ciò, diversi altri botnet IoT hanno adottato metodi simili, competendo per lo stesso pool di dispositivi vulnerabili. Anche JackSkid ha preso di mira sistemi interni, proprio come Kimwolf.

Il Dipartimento di Giustizia ha confermato che lo smantellamento delle quattro botnet è avvenuto in concomitanza con azioni di polizia in Canada e Germania nei confronti degli operatori sospetti, anche se non sono stati forniti ulteriori dettagli. Secondo KrebsOnSecurity, a fine febbraio è stato identificato un 22enne canadese come operatore chiave di Kimwolf. Fonti investigative hanno segnalato anche un 15enne tedesco come principale sospettato.