Il Department of Justice degli Stati Uniti, in collaborazione con le autorità di Canada e Germania, ha annunciato lo smantellamento dell’infrastruttura online di quattro botnet IoT responsabili di una serie di attacchi DDoS da record tra il 2024 e il 2026. Complessivamente, le quattro botnet avevano compromesso oltre tre milioni di dispositivi IoT — principalmente router domestici e webcam esposte in Internet.
Le botnet colpite, identificate nei documenti di sequestro del DoJ, sono: Aisuru, Kimwolf, JackSkid e Mossad.
L’operazione
Il Defense Criminal Investigative Service (DCIS) del Dipartimento della Difesa USA ha eseguito mandati di sequestro contro domini registrati negli Stati Uniti, server virtuali e altre infrastrutture usate per lanciare attacchi DDoS contro indirizzi IP del DoD. Il governo sostiene che gli operatori delle botnet le usassero per condurre centinaia di migliaia di attacchi DDoS, spesso chiedendo pagamenti di estorsione alle vittime.
Alcune vittime hanno riportato decine di migliaia di dollari di danni tra perdita di servizio e costi di mitigazione. I numeri degli attacchi, secondo l’accusa del DoJ, sono impressionanti:
- Aisuru: oltre 200.000 comandi di attacco emessi (la più vecchia e prolifica)
- JackSkid: almeno 90.000 attacchi
- Kimwolf: oltre 25.000 comandi
- Mossad: circa 1.000 attacchi
L’operazione è stata coordinata con “azioni di law enforcement” in Canada e Germania contro individui sospettati di essere gli operatori delle botnet, anche se il DoJ non ha ancora rilasciato dettagli sulle identità degli arrestati.
L’evoluzione del ceppo Aisuru
Aisuru è emersa alla fine del 2024 e per metà 2025 era già responsabile di attacchi DDoS che battevano record storici, infettando rapidamente nuovi dispositivi IoT. A ottobre 2025, dal codice di Aisuru è nata una variante, Kimwolf, che ha introdotto un nuovo meccanismo di propagazione capace di infettare dispositivi nascosti dietro reti interne (non direttamente esposti in Internet).
Il 2 gennaio 2026, la società di sicurezza Synthient ha divulgato pubblicamente la vulnerabilità che Kimwolf usava per propagarsi. La disclosure ha rallentato la crescita di Kimwolf, ma da allora sono emerse diverse altre botnet IoT che copiano efficacemente lo stesso meccanismo, competendo per lo stesso pool di dispositivi vulnerabili.
La botnet JackSkid, secondo il DoJ, utilizzava anch’essa tecniche di propagazione intra-LAN simili a quelle di Kimwolf, a conferma che il modello si è diffuso nel panorama cybercriminale.
Cosa significa per l’Italia
Il parco IoT italiano è esposto al problema come qualsiasi altro paese occidentale. Le categorie di dispositivi più frequentemente compromesse sono:
- Router consumer (soprattutto vecchi modelli TP-Link, D-Link, Mikrotik senza aggiornamenti)
- Webcam di sorveglianza cinesi esposte in Internet con credenziali di default
- DVR/NVR di sistemi di videosorveglianza aziendali
- Dispositivi smart home senza isolamento di rete
Il parallelo con il caso Forest Blizzard di qualche settimana fa è evidente: tanto gli APT statali quanto le botnet cybercriminali sfruttano lo stesso ecosistema di IoT non manutenuti, con obiettivi diversi ma tecniche simili.
Per le aziende italiane, le raccomandazioni restano le solite ma valgono oro:
- Sostituire i router domestici fuori supporto (nessun aggiornamento firmware da 2+ anni = da buttare)
- Segmentare la rete domestica/aziendale in VLAN separate, con gli IoT isolati
- Disabilitare UPnP e accesso remoto non necessario
- Cambiare le credenziali di default di ogni dispositivo connesso
- Controllare periodicamente che il traffico in uscita dai dispositivi IoT sia ragionevole (un router che parla con 200 destinazioni ignote è compromesso)
Per chi ha responsabilità NIS2, l’aspetto critico è che una botnet IoT infiltrata nel perimetro aziendale — anche attraverso un singolo dispositivo innocuo come una webcam di sala riunioni — può diventare il punto di ingresso per attacchi laterali ben più gravi. Non è più un problema “domestico”.