Відключення Yandex: шкідливі боти замість зупинки переїхали, дані Cloudflare

Колапс мережі Yandex після атак

7-11 жовтня, за повідомленнями, українські дрони атакували три об'єкти Yandex в Росії, що поступово вимкнуло центри даних та мережеву потужність. За даними Cloudflare Radar, 11 жовтня мережа Yandex майже повністю впала: трафік Yandex Search (AS13238) знизився на 99% від базового рівня, Yandex.Cloud (AS200350) — на 90%. Після короткого відновлення обидві мережі були порушені до 13 жовтня та залишалися на 86-90% нижче норми. 14 жовтня, о 18:00 UTC, трафік становив 85% від норми.

До атак автоматизовані запити в мережі Cloudflare становили 36,1% глобального HTTP трафіку, з російських IP — 35,8%. Відключення виявило різні ролі двох ASN Yandex.

Пошуковий краулінг на ASN Yandex Search впав

Yandex Search (AS13238) обслуговує краулінг пошукового індексу. Cloudflare класифікував 99,5% його запитів як автоматичні, а 93,6% ботових запитів — як верифіковані. У вибірці 78,1% становив YandexBot, 11,5% — YandexRenderResourcesBot, 1,9% — YandexImages. Найрізкіше падіння зафіксовано в видавництвах та газетах: трафік з мереж Yandex зменшився на 44%. До події близько 90% трафіку з цього ASN на сайти новин становило індексування статей YandexBot, при цьому 40,5% користувачів Cloudflare повертали HTTP 403 Forbidden, оскільки власник сайту заблокував краулер. Під час відключення ASN користувачі спостерігали менше індексування з Yandex.

Шкідлива автоматизація перейшла з Yandex.Cloud

Yandex.Cloud (AS200350) — мережа хмарного хостингу з іншим профілем. Приблизно 95,0% його оцінених запитів були ботовими, хоча жоден не підтверджений Cloudflare. Після атак ботовий трафік з Yandex.Cloud знизився приблизно на 40%. Перевірка плагінів WordPress зменшилась на 90%, запити, ідентифіковані сканерами — на 93%, а блокування трафіку Yandex.Cloud користувачами Cloudflare — на 70%.

Сектор азартних ігор показав, що шкідлива автоматизація замість зникнення переїхала. Майже всі ботові запити з Yandex.Cloud зверталися до одного облікового запису клієнта азартних ігор. Після збою 8 жовтня запити з Yandex.Cloud на цей обліковий запис впали до нуля, однак ідентичні запити з'явилися з інших російських ASN хостингу, зокрема Radist та Selectel, з тим самим JA4 TLS fingerprint, маршрутами запитів, HTTP header-рядками та користувацькими рядками User-Agent. Російський ботовий трафік на облікових записах азартних ігор практично не змінився: з 167,7 мільйона зріс до 170,1 мільйона запитів (+1,4%).

Немає доказів операцій втручання

У мережі Cloudflare глобальні ботові запити під час події залишилися майже незмінними — 39,2-39,6% від HTTP запитів, до події — 39,4%. Ботові запити з Росії впали з 50,4% приблизно до 42-43%, приблизно пропорційно відключеному трафіку Yandex. Cloudflare також проаналізував трафік соціальних медіа та не знайшов несподіваних змін, ні з російських IP (зниження на 0,6% від загального трафіку), ні глобально (зростання на 1,2%).

За оцінками, дані не підтверджують твердження, що атаки вплинули на маніпуляції в соціальних медіа, однак Cloudflare зазначає, що без даних за межами мережі остаточного зв'язку виключити не можна. Компанія стверджує, що обсяг трафіку клієнтського ASN ненадійний показник поведінки ботів, і захист від автоматизованих загроз вимагає перевірки поведінки запитів, наприклад спільних JA4 fingerprint та аномальної частоти, незалежно від того, з якої мережі надходить запит.

Джерела: The Cloudflare Blog