как проводится атака - генерируется много запросов на днс-сервера, в качестве качестве адреса отправителя прописывается атакуемый сервер, днс-сервера отсылают ответ, он в несколько раз больше запроса, таким образом чтобы сгенерировать удп-флуд на допустим гигабит надо иметь 100 мегабит запросов. Если запросы выдавать с одного сервера - то лавочка очень быстро будет прикрыта, поэтому запросов надо создавать по чуть-чуть, но много. В ботнет легче всего включить компьютеры домашних пользователей, потому как уровень квалификации околонулевой. В итоге ботнет из тысячи машин сгенерирует трафик на 1 гигабит и никто не заметит мегабитного трафика с одной машины на днс-ы, да и блокировать такой трафик занимает много времени.

ситуация точно идентична 25-ому порту, проще все заблокировать и открывать по запросу, чем отвечать на письма abuse@