Yandex 故障：数据显示，恶意机器人并未下线，而是转移了

在Yandex数据中心遭到袭击报道后，网络上流传着俄罗斯机器人农场和影响力行动被击垮的说法。HTTP流量图表显示了急剧下降，引发了基础设施损坏阻止了这些恶意行为者的猜测。

然而，综合流量指标很容易误导。有两个自主系统编号（ASN）与Yandex相关：AS13238被Yandex的搜索引擎使用，而AS200350则运行其云服务。

利用Cloudflare雷达和机器人管理数据，我们分析了这两个ASN受到的影响——虽然两者流量均有所下降，但影响各不相同。

• Yandex 搜索（AS13238）:流量下降几乎完全是因为经过验证的搜索爬虫索引网页、图片和网站资源。
• Yandex.Cloud（AS200350）：恶意活动如漏洞扫描和探测有所减少，但大量自动化并未消失——只是迁移到了其他托管服务提供商。

虽然恶意流量可能来自特定提供商，但这并不一定告诉我们流量的责任归属。理解为何攻击对恶意流量影响有限，需要分析请求行为，而不仅仅是整体流量模式。

发生了什么：罢工的影响及赛前基线

据报道，10月7日至11日期间，乌克兰无人机袭击了俄罗斯的三家Yandex设施，逐步使数据中心和网络容量瘫痪。见Cloudflare 雷达最终，Yandex网络于10月11日几乎全面崩溃，Yandex Search（AS13238）流量降至基线以下99%，Yandex Search则降至90%Yandex.Cloud（AS200350）。

尽管短暂部分恢复，两个网络直到10月13日仍受干扰，最终比正常基线低86-90%。（截至10月14日18：00 UTC，流量为正常值的85%。）

整体HTTP流量下降仅确认网络瘫痪。这并不能揭示是否有恶意或规避性机器人扰。查看事件前自动化基线，我们可以看到攻击前自动请求占36.1%在全球范围内观察到的所有HTTP流量中在Cloudflare网络中，以及35.8%来自俄罗斯IP地址的流量.

这次停电对两个受影响的ASN的自动化活动产生了不同的影响，因为它们承担了不同的角色。

扬德克斯搜索ASN（AS13238）用于搜索索引爬取。Cloudflare 将其 99.5% 的请求归类为自动化，93.6% 的机器人请求归类为已验证.我们的分析显示，该ASN的流量会索引页面、渲染页面和渲染图像，这在搜索爬虫中是一致的。

Yandex搜索ASN提供了约7%的俄罗斯发源机器人请求，仅占全球总请求的0.05%。

Yandex.CloudASN（AS200350）是一个云托管网络，采用了截然不同的自动化组合。其评分请求中约95.0%是机器人，但其观察到的机器人请求均未被Cloudflare验证。

Yandex.Cloud的机器人看起来更像软件应用：近三分之二的请求将数据发送给网站，有些自称是JavaScript、Python或Go程序，软件公司的数据比例也高于Yandex的搜索机器人。

该Yandex.CloudASN提供了约2%的俄罗斯机器人请求，仅占全球总数的0.01%。

活动对整体机器人流量的影响

“机器人流量”指的是对Cloudflare网络网站上的自动请求，如爬虫和脚本，而不一定是社交媒体平台上的活动。随着Yandex网络容量下降，他们的机器人请求也随之下降。

这是意料之中的：几乎所有来自Yandex Search和Yandex.Cloud是自动化的。虽然我们明显看到总流量下降，但没有发现全球恶意流量中断与Yandex流量下降联系起来的证据。

来自俄罗斯的机器人请求大致与Yandex下线流量成比例下降，因为这些网络的大多数请求都是自动化的。

* Radar 通过总 HTTP 请求和 HTML 请求（近似页面视图）报告全球流量。上表反映了总请求量。

对Yandex搜索ASN（AS13238）的影响：搜索爬取减少

Yandex 搜索 ASN 的下降几乎完全是搜索爬虫造成的。抽样请求显示，78.1% 属于经过验证的 YandexBot，11.5% 属于 YandexRenderResourcesBot，1.9% 属于 YandexImages。

在网站和服务中，跌幅最大的行业细分是出版和报纸，Yandex网络的流量下降了44%。该ASN约90%的活动前新闻网站流量来自YandexBot索引文章，40.5%的Cloudflare用户因网站所有者屏蔽爬虫而返回HTTP 403禁用回复。

当Yandex搜索ASN下线后，客户看到的Yandex索引减少了。

影响Yandex.CloudASN（AS200350）：合法使用与恶意流量迁移

Yandex.Cloud显示了完全不同的个人资料。报告攻击后，机器人流量来自Yandex.Cloud下降了约40%。几个类似攻击的类别尤其明显下降。

例如，WordPress插件的探测下降了90%，扫描器识别请求下降了93%。有趣且耐人寻味的是，Cloudflare的客户会屏蔽Yandex.Cloud事件期间流量下降了70%，表明该ASN中流向Cloudflare WAF的恶意流量比例更低。

对商业垂直领域的影响

Yandex.Cloud的机器人流量在按顶级请求目的地行业细分时也很有趣：

大多数流量来自Yandex.CloudASN分为两个行业类别：计算机软件和赌博。对于一个旨在托管第三方应用和软件集成的ASN来说，计算机软件类别是可预测的。

事实上，我们甚至看到了这种情况api.cloudflare.com是 的顶级主机名Yandex.Cloud请求流量。总体来说，大部分流量在事件前和事件中都成功（请求返回了200秒），表明存在合法使用。

赌博行业提供了最明确的证据，表明恶意自动化是迁移而非消失。几乎所有Yandex.Cloud的机器人请求针对一个赌博客户账户，流量在其主机名间转移。

10月8日中断后，机器人请求出现在Yandex.Cloud该账户的访问量降至零。与此同时，来自其他俄罗斯托管ASN的相同请求开始出现，包括Radist和Selectel。

进站流量在各个提供商之间保持相同的指纹：

• 同样的JA4 TLS客户端指纹
• 同样的罕见请求路径和HTTP头
• 相同的自定义用户代理字符串

总体来看，针对赌博账户的俄罗斯机器人流量本周基本持平，从1.677亿请求增加到1.701亿请求（+1.4%）。自动化从未停止运行;运营商仅仅将工作负载迁移到其他云服务提供商Yandex.Cloud变得无法联系。

在大多数行业中，来自的机器人请求份额Yandex.Cloud返回任何HTTP 4xx响应的次数减少。这主要是因为上述类似攻击的流量下降。结合赌博客户分析，显示通过Yandex.Cloud服务中断后，Lyly只是将其“服务”转移到了其他运营商。

最后，在分析社交媒体流量时，我们发现无论是来自俄罗斯IP的流量（活动期间总流量下降0.6%）还是全球范围内（活动期间总流量增长1.2%），都没有发现意外变化。

我们重复了对特定社交媒体平台“帖子”、“回复”和“点赞”端点的机器人流量的分析，同样未发现俄罗斯IP在活动期间内外（活动期间总流量下降5.7%）或全球（活动期间总流量增加1.1%）之间出现意外变化。

根据我们的评估，数据似乎并不支持攻击削弱了社交媒体操控的说法，尽管没有Cloudflare外部数据的进一步分析，我们无法断言两者之间没有关联。

数据告诉我们的——以及它没有告诉我们的

当Yandex网络的流量崩溃时，互联网上流传着俄罗斯影响力行动和恶意僵尸网络遭受重创的猜测。Cloudflare的数据则讲述了不同的情况：在Cloudflare的网络中，没有证据表明这些攻击使社交媒体操控下线或以其他方式干扰了互联网上的恶意活动。

相反，数据显示：

• 搜索索引下降了。绝大多数来自Yandex搜索ASN的流量来自经过验证的YandexBot爬虫，这些爬虫用于获取新闻文章和网页资产。主要影响是Yandex搜索内容发现减少。
• 恶意自动化没有停止，而是迁移了。漏洞扫描和插件探测暂时中断Yandex.Cloud大量运营迅速转向替代托管网络。

网络中断意味着特定服务器停止发送请求，但并不意味着自动化威胁消失了。云工作负载是可移动的，因此当数据中心断网或IP前缀被封锁时，运营商可以在数小时内将脚本迁移到其他供应商。

我们的分析提醒我们，客户端ASN流量量是解读自动机器人行为的不可靠代理。防御自动化威胁需要检查请求行为，如识别共享的JA4指纹、监控异常请求速率，以及对敏感端点应用WAF规则，无论请求来自哪个网络。

物理基础设施是静态的，但恶意自动化是为移动而设计的。