Yandex 資料中心停擺：惡意機器人並未消失，僅遷移至其他雲端
Yandex outage: data shows that instead of going dark, malicious bots moved
Yandex 資料中心遭遇俄羅斯無人機攻擊，導致其網路流量大幅下滑，但惡意機器人並未被消滅，而是迅速遷移至其他雲端服務。
- 流量衝擊：Yandex Search ASN（AS13238）流量下降 99% 以上，Yandex.Cloud ASN（AS200350）下降 90%，但至 10 月 14 日已回升至正常的 85%。
本分析揭示基於網路中斷，惡意自動化會即時遷移至其他雲端，提醒防禦者必須關注請求行為而非單純流量變化。
在報導的 Yandex 資料中心攻擊之後，網路上流傳說俄羅斯的機器人農場和影響力運作已被關閉。HTTP 流量圖表顯示急劇下降，推動人們推測基礎設施損毀已停止這些惡意行為者。然而，總體流量指標很容易誤導。Yandex 相關的有兩個自治系統號碼 (ASNs)：AS13238 用於 Yandex 的搜尋引擎，而 AS200350 則執行其雲端服務。
利用 Cloudflare Radar 與 Bot Management 資料，我們分析了這兩個 ASN 受到的影響 — 雖然兩者流量都有下降，但影響程度不同。
- Yandex Search (AS13238): 流量下降幾乎完全是已驗證的搜尋爬蟲索引網頁、圖片與網站資源。
- Yandex.Cloud (AS200350)：惡意活動如漏洞掃描與探測下降，但高流量自動化並未消失 — 它只是遷移到其他主機供應商。
雖然惡意流量可能來自特定供應商，但並不一定能告訴我們誰負責這些流量。瞭解攻擊為何對惡意流量的持續影響有限，需要分析請求行為，而非僅僅看整體流量模式。
發生了什麼：攻擊的影響與事前基準
於 10 月 7 日至 10 月 11 日之間，報導的烏克蘭無人機攻擊擊中俄羅斯的三個 Yandex 設施，逐步使資料中心與網路容量下線。正如在 Cloudflare Radar 所示，這在 10 月 11 日達到近乎完全崩潰，Yandex Search (AS13238) 的流量降至基準值以下 99%，Yandex.Cloud (AS200350) 為 90%。儘管短暫部分恢復，兩個網路至 10 月 13 日仍持續受阻，最終降至正常基準以下 86-90%。（截至 10 月 14 日 18:00 UTC，流量為正常值的 85%。）
整體 HTTP 流量下降僅確認網路已下線。它並不顯示惡意或迴避性機器人是否被中斷。觀察事前自動化基準，我們可以看到在攻擊前，自動化請求佔 Cloudflare 網路觀測到的全球 HTTP 流量的 36.1% 全球觀測到的所有 HTTP 流量，以及俄羅斯 IP 位址流量的 35.8% 俄羅斯 IP 位址的流量。
停機對兩個受影響 ASN 的自動化活動產生不同影響，因為它們承擔不同角色。
Yandex Search ASN (AS13238) 用於搜尋索引爬蟲。Cloudflare 將其 99.5% 的請求歸類為自動化，93.6% 的機器人請求被標記為 Verified。我們的分析顯示，來自此 ASN 的流量索引了頁面、渲染頁面與渲染圖片，這與搜尋爬蟲的典型行為相符。Yandex Search ASN 供應了約 7% 來自俄羅斯的機器人請求，僅佔全球總量的 0.05%。
Yandex.Cloud ASN (AS200350) 是雲端託管網路，並攜帶著非常不同的自動化組合。其評分請求中約 95.0% 為機器人，但 Cloudflare 並未驗證任何觀測到的機器人請求。Yandex.Cloud 的機器人更像軟體應用程式：近三分之二的請求將資料傳送到網站，一些自我識別為 JavaScript、Python 或 Go 程式，而較大比例的請求則發往軟體公司，而非 Yandex 的搜尋機器人。Yandex.Cloud ASN 供應約 2% 的俄羅斯來源機器人請求，全球總量僅佔 0.01%。
事件對整體機器人流量的影響
"機器人流量" 指的是 Cloudflare 網路上對網站的自動化請求，例如爬蟲和指令碼，並不一定是社群媒體平臺上的活動。隨著 Yandex 網路容量下降，其機器人請求亦隨之下降。這是預期之內：幾乎所有來自 Yandex 搜尋與 Yandex.Cloud 的流量都是自動化的。雖然我們看到總流量明顯下降，但並未發現任何證據將全球惡意流量中斷與 Yandex 流量下降相連結。
俄羅斯來源機器人請求大致按 Yandex 流量下線比例下降，因為該網路的請求大多為自動化。
日期 UTC+3 | 全球機器人請求 | 俄羅斯來源機器人請求 |
10 月 1–6 日：事件前基線 | ||
10 月 7–8 日：Sasovo 無人機襲擊 | 39.2% (−0.2%) | 48% (-2.4%) |
10 月 9 日：Kaluga 無人機襲擊 | 39.4% (+0%) | 42.5% (-7.9%) |
10 月 11 日：Vladimir 無人機襲擊 | 39.5% (+0.1%) | 42.2% (−8.2%) |
10 月 12 日 | 39.6% (+0.2%) | 43.6% (−6.8%) |
10 月 13 日 | 39.5% (+0.1%) | 42.1% (−8.3%) |
* 雷達報告以總 HTTP 請求數量以及 HTML 請求數量（大致相當於一次頁面瀏覽）來呈現全球流量。上述表格顯示總請求量。
Yandex 搜尋 ASN (AS13238) 的影響：搜尋爬蟲減少
Yandex 搜尋 ASN 的下降幾乎完全是搜尋爬蟲。抽樣請求顯示 78.1% 為已驗證的 YandexBot，11.5% 為 YandexRenderResourcesBot，1.9% 為 YandexImages。
在各網站與服務中，流量下降最為劇烈的產業區塊是出版與報紙，Yandex 網路的流量下降了 44%。此 ASN 在事件前約 90% 的新聞網站流量為 YandexBot 索引文章，40.5% 的 Cloudflare 客戶因站長封鎖爬蟲而回傳 HTTP 403 Forbidden。當 Yandex 搜尋 ASN 下線時，客戶僅見到 Yandex 的索引量減少。
Yandex.Cloud ASN (AS200350) 的影響：合法使用與惡意流量遷移
Yandex.Cloud 展現完全不同的特徵。報告的襲擊後，Yandex.Cloud 的機器人流量下降約 40%。多個類似攻擊的類別顯示尤為明顯的下降。例如 WordPress 外掛探測下降 90%，掃描器識別的請求下降 93%。有趣的是（且意義重大），Cloudflare 客戶對 Yandex.Cloud 流量的封鎖在事件期間也下降了 70%，暗示此 ASN 的惡意流量比例相對較低，甚至未被 Cloudflare WAF 捕捉。
對商業垂直領域的影響
Yandex.Cloud 的機器人流量在按主要請求目的地產業細分時也很有趣：
目的產業 | 事件前機器人流量 | 事件期間機器人流量 (10 月 7–13 日) | 變化 | 4xx（客戶端錯誤）HTTP 回應狀態佔比：事件前 → 事件期間 |
電腦軟體 | 24.24M | 15.18M | −37.4% | 18.5% → 15.9% |
博彩 | 23.01M | 18.80M | −18.3% | 99.1% → 99.3% |
媒體（含成人） | 1.33M | 223.1K | −83.3% | 82.0% → 61.8% |
網際網路與電信 | 524.2K | 206.5K | −60.6% | 71.4% → 51.1% |
旅遊 / 觀光 | 363.9K | 158.1K | −56.6% | 27.0% → 12.3% |
零售 / 批發 | 316.0K | 167.7K | −46.9% | 71.0% → 55.9% |
遊戲 / 電腦遊戲 | 226.3K | 63.2K | −72.1% | 51.4% → 9.2% |
出版 / 報紙 | 90.8K | 8.8K | −90.3% | 90.2% → 61.4% |
Yandex.Cloud ASN 的流量大部分屬於兩個產業類別：電腦軟體與賭博。電腦軟體類別對於專為託管第三方應用程式與軟體整合而設計的 ASN 是可預期的。事實上，我們甚至發現 api.cloudflare.com 是 Yandex.Cloud 請求流量中最常見的主機名稱。整體來說，這些流量大部分成功（請求返回 200）在事件前後皆如此，顯示為合法使用。
賭博部門提供了最明顯的證據，顯示惡意自動化是遷移而非消失。幾乎所有 Yandex.Cloud 的機器人請求都針對一個賭部落格戶帳號，流量在其主機名稱間切換。10 月 8 日中斷後，Yandex.Cloud 對此帳號的機器人請求降至零。與此同時，其他俄羅斯託管 ASN（包括 Radist 和 Selectel）也開始出現相同的請求。進入流量在各供應商間保持相同的指紋：
- 相同的 JA4 TLS 客戶端指紋
- 相同的不常見請求路徑與 HTTP 標頭
- 相同的自訂 User-Agent 字串
總體而言，針對賭博帳號的俄羅斯機器人流量在整週內基本持平，從 1.677 億次請求上升至 1.701 億次（+1.4%）。自動化從未停止運作；運營者只是在 Yandex.Cloud 不可用後將工作負載遷移至其他雲端供應商。
在大多數產業中，來自 Yandex.Cloud 的機器人請求中返回任何 HTTP 4xx 回應的比例下降。這主要是因為上述攻擊類似流量的下降。結合賭部落格戶分析，顯示透過 Yandex.Cloud 傳送請求的惡意流量在服務中斷後只是將其「服務」轉移至其他供應商。
最後，當我們分析社群媒體流量時，發現來自俄羅斯來源 IP（事件期間總流量下降 0.6%）或全球（事件期間總流量增加 1.2%）的流量均無意外變化。我們對特定社群媒體平臺的「貼文」、「回覆」與「喜歡」端點進行機器人流量分析，同樣未發現在事件前後來自俄羅斯來源 IP（事件期間總流量下降 5.7%）或全球（事件期間總流量增加 1.1%）的意外轉移。根據我們的評估，資料並未顯示這些打擊削弱社群媒體操縱，儘管若未進一步分析 Cloudflare 之外的資料，無法確定是否無關聯。
資料告訴我們的事 — 以及未告訴我們的事
當 Yandex 網路流量崩潰時，網路上流傳俄羅斯影響行動與惡意機器人網路遭受致命打擊的猜測。Cloudflare 的資料講述不同的故事：在 Cloudflare 網路中，沒有證據顯示這些打擊使社群媒體操縱下線或以其他方式幹擾網際網路上的惡意活動。相反，資料顯示：
- 搜尋索引下降。 從 Yandex Search ASN 損失的流量中，絕大多數是經過驗證的 YandexBot 爬蟲抓取新聞文章與網頁資產。主要…
- 惡意自動化已遷移而非停止。 在漏洞掃描與外掛探測暫時停止於 Yandex.Cloud 時，高流量作業迅速轉移至其他託管網路。
網路中斷表示特定伺服器停止送出請求，但並不代表自動化威脅已消失。雲端工作負載具可移植性，於資料中心停擺或 IP 字首被封鎖時，運營者可於數小時內將指令碼遷移至其他供應商。
本分析提醒，客戶 ASN 流量量級並非可靠的自動化機器人行為代理。 抵禦自動化威脅需檢查請求行為，例如識別共用 JA4 指紋、監控異常請求速率，以及對敏感端點套用 WAF 規則，無論請求來自何種網路。物理基礎設施是靜態的，但惡意自動化設計為可移動。