تعطيل Yandex: انتقلت الروبوتات الخبيثة بدلاً من التوقف، وفقًا لبيانات Cloudflare

انهيار شبكة Yandex بعد الهجمات

في 7-11 أكتوبر، وفقًا للتقارير، استهدفت طائرات مسيرة أوكرانية ثلاثة منشآت لـ Yandex داخل روسيا، مما أدى في الوقت نفسه إلى إيقاف مراكز البيانات والقدرة الشبكية. وفقًا لـ Cloudflare Radar، انهارت شبكة Yandex تقريبًا بالكامل في 11 أكتوبر: انخفضت حركة Yandex Search (AS13238) بنسبة 99% عن خط الأساس، وحركة Yandex.Cloud (AS200350) بنسبة 90%. على رغم تعافٍ وجيز، ظلت كلتا الشبكتين متعطلتين حتى 13 أكتوبر وبقيتا أقل من المستوى الطبيعي بنسبة 86-90%. في 14 أكتوبر، عند 18:00 UTC، كانت الحركة 85% من المستوى الطبيعي.

قبل الهجمات، كانت الطلبات المؤتمتة في شبكة Cloudflare تمثل 36.1% من حركة HTTP العالمية، و35.8% من عناوين IP الروسية. كشف التعطيل عن أدوار مختلفة على ASNين لـ Yandex.

تراجع زحف الفهرسة في Yandex Search ASN

تخدم Yandex Search (AS13238) زحف فهرسة البحث. صنّفت Cloudflare 99.5% من طلباتها تلقائيًا، و93.6% من طلبات الروبوتات على أنها موثقة. في العينة، كانت 78.1% من YandexBot و11.5% من YandexRenderResourcesBot و1.9% من YandexImages. سُجّل أشد انخفاض لدى دور النشر والصحف: انخفضت الحركة من شبكات Yandex بنسبة 44%. كان نحو 90% من الحركة من هذا ASN إلى مواقع الأخبار هو فهرسة مقالات YandexBot، وأرجع 40.5% من عملاء Cloudflare الرد HTTP 403 Forbidden لأن مالك الموقع حظر الزاحف. أثناء تعطيل ASN، لاحظ العملاء انخفاض الفهرسة من Yandex.

انتقلت الأتمتة الخبيثة من Yandex.Cloud

Yandex.Cloud (AS200350) شبكة استضافة سحابية بملف مختلف. كان نحو 95.0% من طلباتها المقدَّمة روبوتات، لكن Cloudflare لم توثق أيًا منها. بعد الهجمات، انخفضت حركة الروبوتات من Yandex.Cloud بنحو 40%. أظهرت فحوصات إضافات WordPress تحديد 90%، وأدوات الفحص 93%، بينما انخفض حظر عملاء Cloudflare لحركة Yandex.Cloud بنسبة 70%.

أظهر قطاع ألعاب القمار أن الأتمتة الخبيثة انتقلت بدلًا من أن تختفي. كانت تقريبًا كل طلبات Yandex.Cloud الروبوتية موجهة إلى حساب عميل واحد لألعاب القمار. بعد اضطرابات 8 أكتوبر، انخفضت الطلبات من Yandex.Cloud إلى هذا الحساب إلى الصفر، بينما ظهرت طلبات متطابقة من ASNين آخرين للاستضافة الروسية، بما في ذلك Radist وSelectel، بنفس بصمة JA4 TLS ومسارات الطلبات وعناوين HTTP وسلاسل User-Agent المخصصة. بقيت الحركة الروبوتية الروسية على حسابات ألعاب القمار دون تغيير يُذكر، حيث ارتفعت من 167.7 مليون إلى 170.1 مليون طلب (+1.4%).

لا دليل على تعطيل عمليات التأثير

في شبكة Cloudflare، بقيت طلبات الروبوتات العالمية دون تغيير يُذكر أثناء الحادث، بين 39.2-39.6% من طلبات HTTP مقابل 39.4% قبل الحادث. انخفضت طلبات الروبوتات من روسيا من 50.4% إلى نحو 42-43%، بما يتناسب تقريبًا مع حركة Yandex المعطلة. حلّلت Cloudflare أيضًا حركة وسائل التواصل الاجتماعي ولم تجد تغييرات غير متوقعة، لا من عناوين IP الروسية (انخفاض 0.6% من إجمالي الحركة) ولا عالميًا (زيادة 1.2%).

يُقدَّر أن البيانات لا تدعم ادعاء أن الهجمات ألحقت الضرر بالتلاعب في وسائل التواصل الاجتماعي، مع أن Cloudflare تشير إلى أنها لا تستطيع في النهاية استبعاد الارتباط دون بيانات خارج الشبكة. تؤكد الشركة أن حجم حركة ASN الخاص بالعميل مؤشر غير موثوق لسلوك الروبوتات، وأن الحماية من التهديدات المؤتمتة تتطلب فحص سلوك الطلبات، مثل بصمات JA4 المشتركة والتردد غير الطبيعي، بغض النظر عن الشبكة القادم منها الطلب.

المصادر: The Cloudflare Blog