En 2025 el número total de ataques DDoS se duplicó con creces
La red de bots de denegación de servicio distribuido (DDoS) conocida como AISURU/Kimwolf ha sido atribuida a un ataque récord que alcanzó un máximo de 31,4 terabits por segundo (Tbps) y duró solo 35 segundos.
Cloudflare, que detectó y mitigó automáticamente la actividad, dijo que es parte de un número creciente de ataques DDoS HTTP hipervolumétricos montados por la botnet en el cuarto trimestre de 2025. El ataque tuvo lugar en noviembre de 2025.
AISURU/Kimwolf también ha sido vinculado a otra campaña DDoS con nombre en código The Night Before Christmas que comenzó el 19 de diciembre de 2025. Según Cloudflare, el tamaño promedio de los ataques DDoS hipervolumétricos durante la campaña fue de 3 mil millones de paquetes por segundo (Bpps), 4 Tbps y 54 solicitudes por segundo (Mrps), con tasas máximas que alcanzaron los 9 Bpps, 24 Tbps y 205 Mrps.
"Los ataques DDoS aumentaron un 121 % en 2025, alcanzando un promedio de 5.376 ataques mitigados automáticamente cada hora", afirmaron Omer Yoachimik y Jorge Pacheco de Cloudflare. "En 2025, el número total de ataques DDoS se duplicó con creces, alcanzando la increíble cifra de 47,1 millones".
La empresa de infraestructura web señaló que mitigó 34,4 millones de ataques DDoS a nivel de red en 2025, en comparación con los 11,4 millones de 2024. Solo en el cuarto trimestre de 2025, los ataques DDoS a nivel de red representaron el 78 % del total. En conjunto, el número de ataques DDoS aumentó un 31 % con respecto al trimestre anterior y un 58 % con respecto a 2024.
En el cuarto trimestre de 2025, los ataques hipervolumétricos aumentaron un 40 % en comparación con el trimestre anterior, pasando de 1.304 a 1.824. En el primer trimestre de 2025, se registraron 717 ataques. Este aumento en el número de ataques se ha visto acompañado de un incremento en su magnitud, que ha crecido más del 700 % en comparación con los grandes ataques observados a finales de 2024.
AISURU/Kimwolf ha atrapado en su botnet a más de 2 millones de dispositivos Android, la mayoría de los cuales son televisores Android de otras marcas, a menudo mediante túneles a través de redes proxy residenciales como IPIDEA. El mes pasado, Google interrumpió la red proxy e inició acciones legales para desmantelar docenas de dominios utilizados para controlar dispositivos y el tráfico proxy a través de ellos.
También se asoció con Cloudflare para interrumpir la resolución del dominio de IPIDEA, lo que afectó su capacidad para comandar y controlar los dispositivos infectados y comercializar sus productos.
“Como parte de la iniciativa de disrupción liderada por Google, Cloudflare participó suspendiendo el acceso a numerosas cuentas y dominios que hacían un uso indebido de su infraestructura”, declaró Cloudflare. "Los actores de amenazas intentaban distribuir malware y ofrecer mercados a quienes buscaban acceder a la red de proxies residenciales ilícitos".
Se ha determinado que IPIDEA ha registrado dispositivos con al menos 600 aplicaciones Android troyanizadas que integraban varios kits de desarrollo de software (SDK) de proxy, y más de 3.000 binarios de Windows troyanizados que se hacían pasar por OneDriveSync o actualizaciones de Windows. Además, la empresa con sede en Pekín ha publicitado varias aplicaciones VPN y proxy que convertían silenciosamente los dispositivos Android de los usuarios en nodos de salida de proxy sin su conocimiento ni consentimiento.
Es más, se ha descubierto que los operadores gestionan al menos una docena de servicios proxy residenciales que se hacen pasar por legítimos. En segundo plano, todas estas ofertas están conectadas a una infraestructura centralizada bajo el control de IPIDEA.
Algunas de las otras tendencias notables observadas por Cloudflare durante el cuarto trimestre de 2025 son las siguientes:
• Las telecomunicaciones, los proveedores de servicios y los operadores surgieron como los sectores más atacados, seguidos por las verticales de tecnología de la información, juegos de azar, juegos y software informático.
• China, Hong Kong, Alemania, Brasil, Estados Unidos, Reino Unido, Vietnam, Azerbaiyán, India y Singapur fueron los países más atacados.
• Bangladesh superó a Indonesia y se convirtió en el mayor origen de ataques DDoS. Otros países con mayor incidencia fueron Ecuador, Indonesia, Argentina, Hong Kong, Ucrania, Vietnam, Taiwán, Singapur y Perú.
"Los ataques DDoS están creciendo rápidamente en sofisticación y magnitud, superando lo imaginable", afirmó Cloudflare.
"Este panorama de amenazas en constante evolución presenta un significativo desafío para que muchas organizaciones puedan seguir el ritmo. Las organizaciones que actualmente dependen de dispositivos de mitigación locales o centros de depuración bajo demanda podrían beneficiarse de reevaluar su estrategia de defensa".
