הכישלון של Yandex: בוטים זדוניים הזוזו במקום להיעצר, לפי נתוני Cloudflare

קריסת הרשת של Yandex לאחר התקיפות

ב-7 עד 11 באוקטובר, לפי דיווחים, כלי טס אישיים אוקראיניים תקפו שלושה אתרים של Yandex ברוסיה, מה שהוביל לכיבוי הדרגתי של מרכזי נתונים וכוח רשת. לפי Cloudflare Radar, ב-11 באוקטובר רשת Yandex קרסה כמעט לחלוטין: התעבורה של Yandex Search (AS13238) צנחה ב-99% מהבסיס, ושל Yandex.Cloud (AS200350) ב-90%. למרות שיקום קצר, שתי הרשתות היו מושבשות עד 13 באוקטובר ונותרו מתחת לנורמה ב-86-90%. ב-14 באוקטובר, בשעה 18:00 UTC, התעבורה הייתה 85% מהנורמה.

לפני התקיפות, בקשות אוטומטיות ברשת Cloudflare ייצגו 36.1% מתעבורת HTTP הגלובלית, ומכתובות IP רוסיות 35.8%. הכישלון חשף תפקידים שונים בשני ה-ASN של Yandex.

זחילת החיפוש של Yandex Search ב-ASN שלה צנחה

Yandex Search (AS13238) משמשת לזחילת אינדקס חיפוש. Cloudflare העריכה ש-99.5% מבקשותיה אוטומטיות, ו-93.6% מבקשות הבוטים מאומתות. בדגימה 78.1% היה YandexBot, 11.5% YandexRenderResourcesBot, 1.9% YandexImages. הירידה החדה ביותר נרשמה בעיתונות ובכתבי עת: התעבורה מרשתות Yandex ירדה ב-44%. מה-ASN הזה, כ-90% מהתעבורה לפני הגעה לאתרי חדשות הייתה אינדוקסציה של מאמרים על ידי YandexBot, ו-40.5% מלקוחות Cloudflare קיבלו HTTP 403 Forbidden מכיוון שבעלי האתר חסמו את הזחלן. בזמן הכישלון, משתמשים ראו פחות אינדוקסציה מ-Yandex.

האוטומציה הזדונית עברה מ-Yandex.Cloud

Yandex.Cloud (AS200350) היא רשת אחסון ענן, בפרופיל אחר. כ-95.0% מבקשותיה הוערכו כבוטים, אך Cloudflare לא אישרה אף אחת. לאחר התקיפות, התעבורה הבוטית מ-Yandex.Cloud צנחה בכ-40%. בדיקת תוספי WordPress ירדה ב-90%, בקשות שזוהו על ידי סורקים ב-93%, וחסימת תעבורת Yandex.Cloud על ידי לקוחות Cloudflare צנחה ב-70%.

ענף ההימורים הראה שהאוטומציה הזדונית לא נעלמה אלא זזה. כמעט כל בקשה בוטית מ-Yandex.Cloud כיוונה לחשבונות של לקוח הימורים. לאחר השבישה מ-8 באוקטובר, בקשות לחשבון זה מ-Yandex.Cloud צנחו לאפס, ובקשות זהות הופיעו מ-ASN אחרים של אחסון רוסי, כולל מ-Radist ו-Selectel, עם אותו JA4 TLS fingerprint, מסלולי בקשה, HTTP headers ושורות User-Agent מותאמים. התעבורה הבוטית הרוסית לחשבונות הימורים נותרה כמעט ללא שינוי: מ-167.7 מיליון ל-170.1 מיליון בקשות (+1.4%).

אין ראיות לשיבוש מבצעי התערבות

ברשת Cloudflare, בקשות בוטים גלובליות בזמן האירוע נותרו כמעט ללא שינוי, 39.2-39.6% מבקשות HTTP, לעומת 39.4% לפני האירוע. בקשות בוטים מרוסיה צנחו מ-50.4% לכ-42-43%, בערך פרופורציונלי לתעבורת Yandex המושבשת. Cloudflare ניתחה גם תעבורת מדיה חברתית ולא מצאה שינויים בלתי צפויים, לא מכתובות IP רוסיות (ירידה של 0.6% מכלל התעבורה) ולא גלובלית (עלייה של 1.2%).

להערכה, הנתונים לא תומכים בטענה שהתקיפות פגעה במניפולציה של מדיה חברתית, אך Cloudflare מציינת שללא נתונים מחוץ לרשת, לא ניתן לשלול קשר סופית. החברה מדגישה שנפח התעבורה של ASN הלקוח הוא מדד לא אמין להתנהגות בוטים והגנה מפני איומים אוטומטיים דורשת בדיקת התנהגות בקשות, למשל JA4 fingerprints משותפים ותדרים חריגים, ללא קשר לרשת שממנה מגיעה הבקשה.

מקורות: The Cloudflare Blog