После сообщений об ударах по центрам обработки данных Yandex в Интернете распространились утверждения о том, что российские бот-фермы и операции по оказанию влияния были выведены из строя. Графики HTTP-трафика показали резкое падение, что породило предположения о том, что ущерб инфраструктуре остановил этих злоумышленников. Однако совокупные показатели трафика могут легко ввести в заблуждение. С Yandex связаны два номера автономных систем (ASNs): AS13238 используется поисковой системой Yandex, а AS200350 обслуживает облачные сервисы компании.
Используя данные Cloudflare Radar и Bot Management, мы проанализировали, как пострадали эти две ASN — и хотя в обеих наблюдалось падение трафика, влияние на них было различным.
- Yandex Search (AS13238): Падение трафика почти полностью состояло из проверенных поисковых роботов, индексирующих веб-страницы, изображения и ресурсы сайтов.
- Yandex.Cloud (AS200350): Наблюдалось снижение вредоносной активности, такой как сканирование уязвимостей и зондирование, но автоматизация с большими объемами не исчезла — она просто мигрировала к другим хостинг-провайдерам.
Хотя вредоносный трафик может исходить от конкретного провайдера, это не обязательно говорит нам о том, кто несет за него ответственность. Понимание того, почему удары оказали незначительное долгосрочное влияние на вредоносный трафик, требует анализа поведения запросов, а не просто общих паттернов трафика.
Что произошло: влияние ударов и базовый уровень до событий
В период с 7 по 11 октября сообщалось об ударах украинских беспилотников по трем объектам Yandex в России, что привело к постепенному выводу из строя центров обработки данных и сетевых мощностей. Как видно на Cloudflare Radar, это привело к почти полному коллапсу сети Yandex 11 октября, когда трафик упал на 99% ниже базового уровня для Yandex Search (AS13238) и на 90% для Yandex.Cloud (AS200350). Несмотря на кратковременное частичное восстановление, обе сети оставались нарушенными до 13 октября, стабилизировавшись на уровне 86-90% ниже нормальных базовых показателей. (По состоянию на 18:00 UTC 14 октября трафик составляет 85% от нормы.)
Падение общего HTTP-трафика лишь подтверждает, что сеть вышла из строя. Это не показывает, были ли нарушены вредоносные или скрытные боты. Глядя на базовый уровень автоматизации до событий, мы видим, что до ударов автоматизированные запросы составляли 36,1% от всего HTTP-трафика, наблюдаемого по всему миру в сети Cloudflare, и 35,8% от трафика с российских IP-адресов.
Сбой по-разному повлиял на автоматизированную активность в двух затронутых ASN, поскольку они выполняли разные роли.
ASN Yandex Search (AS13238) используется для индексации поисковых систем. Cloudflare классифицировала 99,5% его запросов как автоматизированные, а 93,6% его бот-запросов как Verified. Наш анализ показал, что трафик из этой ASN индексировал страницы, отрисовывал страницы и изображения, что является типичным поведением для поискового робота. На долю ASN Yandex Search приходилось около 7% бот-запросов российского происхождения и всего 0,05% от общего мирового объема.
ASN Yandex.Cloud (AS200350) — это сеть облачного хостинга, которая несет совершенно иной набор автоматизации. Примерно 95,0% его оцененных запросов были ботами, но ни один из наблюдаемых бот-запросов не был верифицирован Cloudflare. Боты Yandex.Cloud больше походили на программные приложения: почти две трети их запросов отправляли данные на веб-сайты, некоторые идентифицировали себя как программы на JavaScript, Python или Go, и большая их доля приходилась на софтверные компании, чем у поисковых ботов Yandex. На долю ASN Yandex.Cloud приходилось около 2% бот-запросов российского происхождения и всего 0,01% от общего мирового объема.
Влияние события на общий бот-трафик
«Бот-трафик» относится к автоматизированным запросам к веб-сайтам в сети Cloudflare, таким как краулеры и скрипты, а не обязательно к активности в социальных сетях. По мере того как сети Yandex теряли пропускную способность, их бот-запросы также падали. Это было ожидаемо: почти весь трафик от Yandex Search и Yandex.Cloud был автоматизирован. Хотя мы наблюдали очевидное падение общего трафика, мы не увидели никаких доказательств, связывающих глобальный сбой во вредоносном трафике с падением трафика от Yandex.
Бот-запросы российского происхождения упали примерно пропорционально трафику Yandex, который ушел в офлайн, поскольку большинство запросов из этих сетей были автоматизированными.
Дата UTC+3
Глобальные бот-запросы (% от всех HTTP-запросов)*
Бот-запросы российского происхождения (% от HTTP-запросов российского происхождения)
1–6 октября: базовый уровень до событий
7–8 октября: удар беспилотника по Сасово
39.2% (−0,2%)
48% (-2,4%)
9 октября: удар беспилотника по Калуге
39.4% (+0%)
42.5% (-7,9%)
11 октября: удар беспилотника по Владимиру
39.5% (+0,1%)
42.2% (−8,2%)
12 октября
39.6% (+0,2%)
43.6% (−6,8%)
13 октября
39.5% (+0,1%)
42.1% (−8,3%)
* Radar сообщает о глобальном трафике как по общему количеству HTTP-запросов, так и по HTML-запросам (приблизительное значение просмотров страниц). В таблице выше отражен общий объем запросов.
Влияние на ASN Yandex Search (AS13238): меньше поисковой индексации
Снижение в ASN Yandex Search почти полностью было связано с поисковой индексацией. Выборочные запросы показали, что 78,1% принадлежали верифицированному YandexBot, 11,5% — YandexRenderResourcesBot и 1,9% — YandexImages.
Среди веб-сайтов и сервисов отраслевым сегментом, который показал наиболее резкое падение, стали издательства и газеты, где трафик из сетей Yandex упал на 44%. Примерно 90% трафика до событий на новостные сайты из этой ASN приходилось на YandexBot, индексирующий статьи, при этом 40,5% клиентов Cloudflare возвращали ответы HTTP 403 Forbidden, поскольку владелец сайта блокировал краулер. Когда ASN Yandex Search ушла в офлайн, клиенты просто увидели меньше индексации со стороны Yandex.
Влияние на ASN Yandex.Cloud (AS200350): легитимное использование и миграция вредоносного трафика
Yandex.Cloud продемонстрировал совершенно иной профиль. После сообщений об ударах бот-трафик из Yandex.Cloud упал примерно на 40%. Несколько категорий, похожих на атаки, показали особенно резкое снижение. Например, зондирование плагинов WordPress упало на 90%, а запросы, идентифицированные как сканеры, упали на 93%. Интересно (и показательно), что блокировки трафика Yandex.Cloud клиентами Cloudflare также упали на 70% в период события, что говорит о том, что пропорционально меньше вредоносного трафика даже достигало WAF Cloudflare из этой ASN.
Влияние на бизнес-вертикали
Бот-трафик Yandex.Cloud также интересен, если сегментировать его по основным отраслям назначения запросов:
Отрасль назначения
Бот-трафик до события
Бот-трафик во время события (7-13 октября)
Изменение
Доля статусов ответов HTTP 4xx (ошибка клиента): до → во время события
Компьютерное программное обеспечение
24,24 млн
15,18 млн
−37,4%
18,5% → 15,9%
Азартные игры
23,01 млн
18,80 млн
−18,3%
99,1% → 99,3%
СМИ, включая контент для взрослых
1,33 млн
223,1 тыс.
−83,3%
82,0% → 61,8%
Интернет и телекоммуникации
524,2 тыс.
206,5 тыс.
−60,6%
71,4% → 51,1%
Путешествия / туризм
363,9 тыс.
158,1 тыс.
−56,6%
27,0% → 12,3%
Розничная / оптовая торговля
316,0 тыс.
167,7 тыс.
−46,9%
71,0% → 55,9%
Гейминг / компьютерные игры
226,3 тыс.
63,2 тыс.
−72,1%
51,4% → 9,2%
Издательское дело / газеты
90,8 тыс.
8,8 тыс.
−90,3%
90,2% → 61,4%
Большая часть трафика из ASN Yandex.Cloud пришлась на две отраслевые категории: компьютерное программное обеспечение и азартные игры. Категория компьютерного ПО была предсказуемой для ASN, предназначенной для размещения сторонних приложений и программных интеграций. Фактически, мы даже увидели, что api.cloudflare.com является одним из основных имен хостов для трафика запросов Yandex.Cloud. Подавляющее большинство этого трафика было успешным (запросы возвращали код 200) как до, так и во время инцидента, что указывает на легитимное использование.
Сектор азартных игр предоставляет наиболее четкие доказательства того, что вредоносная автоматизация переместилась, а не исчезла. Почти все бот-запросы Yandex.Cloud были направлены на одну учетную запись клиента из сферы азартных игр, при этом трафик перемещался между его именами хостов. Сразу после сбоя 8 октября бот-запросы из Yandex.Cloud к этой учетной записи упали до нуля. Одновременно с этим идентичные запросы начали поступать из других российских хостинг-ASN, включая Radist и Selectel. Входящий трафик сохранял идентичный «отпечаток» у разных провайдеров:
- Тот же TLS-отпечаток клиента JA4
- Те же необычные пути запросов и HTTP-заголовки
- Те же пользовательские строки User-Agent
В целом, объем российского бот-трафика, нацеленного на аккаунты азартных игр, оставался практически неизменным в течение недели, изменившись со 167,7 млн до 170,1 млн запросов (+1,4%). Автоматизация не прекращала работу; операторы просто перенесли свои рабочие нагрузки к альтернативным облачным провайдерам, как только Yandex.Cloud стал недоступен.
В большинстве отраслей доля бот-запросов из Yandex.Cloud, возвращающих какой-либо ответ HTTP 4xx, снизилась. Это во многом связано с падением трафика, похожего на атаку, о котором говорилось выше. Это, в сочетании с анализом клиента из сферы азартных игр, показывает, что вредоносный трафик, отправлявший запросы через Yandex.Cloud, просто перенес свои «услуги» к другим провайдерам после сбоя в работе сервиса.
Наконец, когда мы проанализировали трафик социальных сетей, мы не обнаружили неожиданных изменений в трафике ни со стороны IP-адресов российского происхождения (снижение общего трафика на 0,6% за период инцидента), ни в глобальном масштабе (увеличение общего трафика на 1,2% за период инцидента). Мы повторили анализ бот-трафика, обращающегося к конечным точкам «публикация», «ответ» и «лайк» для конкретной социальной сети, и аналогичным образом не обнаружили неожиданных сдвигов до или во время периода инцидента ни со стороны IP-адресов российского происхождения (снижение общего трафика на 5,7% за период инцидента), ни в глобальном масштабе (увеличение общего трафика на 1,1% за период инцидента). Основываясь на нашей оценке, данные, по-видимому, не подтверждают утверждения о том, что удары нанесли сокрушительный урон манипуляциям в социальных сетях, хотя без дальнейшего анализа с использованием данных вне Cloudflare мы не можем окончательно утверждать об отсутствии связи.
Что нам сказали данные — и чего они не сказали
Когда трафик из сетей Yandex рухнул, по интернету распространились предположения, что российские операции влияния и вредоносные ботнеты получили сокрушительный удар. Данные Cloudflare говорят об обратном: во всей сети Cloudflare не было никаких доказательств того, что удары вывели из строя манипуляции в социальных сетях или иным образом нарушили вредоносную активность в интернете. Вместо этого данные показали:
- Индексация в поиске снизилась. Подавляющее большинство трафика, который упал из ASN Yandex Search, состояло из проверенных краулеров YandexBot, извлекающих новостные статьи и веб-ресурсы. Основным последствием стало снижение обнаружения контента в поиске Yandex.
- Вредоносная автоматизация мигрировала, а не остановилась. В то время как сканирование уязвимостей и зондирование плагинов временно сократились в Yandex.Cloud, высокообъемные операции быстро переместились в альтернативные хостинговые сети.
Сбой в сети означает, что конкретные серверы перестали отправлять запросы, но это не означает, что автоматизированная угроза исчезла. Облачные рабочие нагрузки мобильны, поэтому, когда дата-центр отключается или IP-префикс блокируется, операторы могут перенести свои скрипты к другому провайдеру за считанные часы.
Наш анализ здесь служит напоминанием о том, что объем трафика клиентской ASN является ненадежным показателем для интерпретации поведения автоматизированных ботов. Защита от автоматизированных угроз требует проверки поведения запросов, например, выявления общих отпечатков JA4, мониторинга аномальных скоростей запросов и применения правил WAF к чувствительным конечным точкам, независимо от того, из какой сети исходит запрос. Физическая инфраструктура статична, но вредоносная автоматизация создана для того, чтобы перемещаться.
