Yandex-uitval: data tonen dat kwaadaardige bots niet verdwenen, maar verhuisden
Na meldingen van aanvallen op datacenters van Yandex ontstonden er op internet beweringen dat Russische botfarms en beïnvloedingsoperaties offline waren gehaald. Grafieken van het HTTP-verkeer toonden steile dalingen, wat speculaties voedde dat de infrastructurele schade deze kwaadaardige actoren had gestopt. Aggregeerde verkeersgegevens kunnen echter gemakkelijk misleidend zijn. Er zijn twee autonome systeemnummers (ASNs) gekoppeld aan Yandex: AS13238 wordt gebruikt door de zoekmachine van Yandex, terwijl AS200350 de cloudservices beheert.
Met behulp van data van Cloudflare Radar en Bot Management hebben we geanalyseerd hoe deze twee ASNs werden beïnvloed. Hoewel beide een daling in verkeer zagen, was de impact verschillend:
- Yandex Search (AS13238): De daling in verkeer bestond bijna volledig uit geverifieerde zoek-crawlers die webpagina's, afbeeldingen en sitebronnen indexeerden.
- Yandex.Cloud (AS200350): Er was een afname in kwaadaardige activiteiten zoals kwetsbaarheidsscanning en probing, maar automatisering met een hoog volume verdween niet — het migreerde simpelweg naar andere hostingproviders.
Hoewel kwaadaardig verkeer afkomstig kan zijn van een specifieke provider, vertelt dit ons niet noodzakelijkerwijs wie verantwoordelijk is voor dat verkeer. Om te begrijpen waarom de aanvallen weinig blijvend effect hadden op het kwaadaardige verkeer, is het nodig om het gedrag van de verzoeken te analyseren in plaats van enkel de algemene verkeerspatronen.
Wat er gebeurde: het effect van de aanvallen en de nulmeting
Tussen 7 en 11 oktober raakten drie Yandex-faciliteiten in Rusland getroffen door meldingen van Oekraïense droneaanvallen, waardoor datacenters en netwerkcapaciteit progressief offline gingen. Zoals te zien is op Cloudflare Radar, culmineerde dit op 11 oktober in een bijna volledige instorting van het Yandex-netwerk. Het verkeer kelderde tot 99% onder de baseline voor Yandex Search (AS13238) en 90% voor Yandex.Cloud (AS200350). Ondanks een kortstondig gedeeltelijk herstel bleven beide netwerken verstoord tot 13 oktober, waarbij ze op 86-90% onder de normale baselines bleven. (Op 14 oktober om 18:00 UTC bedroeg het verkeer 85% van het normale niveau.)
Een daling in het totale HTTP-verkeer bevestigt enkel dat het netwerk uitviel; het onthult niet of kwaadaardige of ontwijkende bots werden verstoord. Kijkend naar de automatisering vóór het incident, zagen we dat geautomatiseerde verzoeken vóór de aanvallen goed waren voor 36,1% van al het wereldwijd waargenomen HTTP-verkeer op het netwerk van Cloudflare, en 35,8% van het verkeer afkomstig uit Russische IP-adressen.
De uitval had verschillende effecten op de geautomatiseerde activiteit op de twee getroffen ASNs, omdat ze verschillende rollen vervullen:
Yandex Search ASN (AS13238) wordt gebruikt voor het crawlen van de zoekindex. Cloudflare classificeerde 99,5% van de verzoeken als geautomatiseerd, en 93,6% van de botverzoeken als 'Geverifieerd'. Onze analyse toonde aan dat verkeer van dit ASN pagina's indexeerde, pagina's renderde en afbeeldingen renderde, wat consistent gedrag is voor een zoek-crawler. Het Yandex Search ASN leverde ongeveer 7% van de botverzoeken met Russische oorsprong, en slechts 0,05% van het wereldwijde totaal.
Yandex.Cloud ASN (AS200350) is een cloud-hostingnetwerk en vervoert een zeer andere mix van automatisering. Ongeveer 95,0% van de gescorede verzoeken waren bots, maar geen van de waargenomen botverzoeken werden door Cloudflare geverifieerd. De bots van Yandex.Cloud leken meer op software-apps: bijna tweederde van hun verzoeken stuurde gegevens naar websites, sommige identificeerden zich als JavaScript-, Python- of Go-programma's, en een groter aandeel ging naar softwarebedrijven dan de zoekbots van Yandex. Het Yandex.Cloud ASN leverde ongeveer 2% van de botverzoeken met Russische oorsprong, en slechts 0,01% van het wereldwijde totaal.
Impact van het incident op het totale botverkeer
Onder "botverkeer" verstaan we geautomatiseerde verzoeken naar websites op het netwerk van Cloudflare, zoals crawlers en scripts, en niet noodzakelijkerwijs activiteit op sociale mediaplatforms. Naarmate de netwerken van Yandex aan capaciteit verloren, namen ook hun botverzoeken af. Dit was verwacht, aangezien bijna al het verkeer van Yandex Search en Yandex.Cloud geautomatiseerd was. Hoewel we de duidelijke daling in het totale verkeer zagen, vonden we geen bewijs dat een wereldwijde verstoring in kwaadaardig verkeer gelinkt was aan de daling in verkeer van Yandex.
De botverzoeken met Russische oorsprong daalden ongeveer in proportie tot het Yandex-verkeer dat offline ging.
| Datum (UTC+3) | Wereldwijde botverzoeken (% van alle HTTP-verzoeken)* | Botverzoeken met Russische oorsprong (% van HTTP-verzoeken uit Rusland) |
|---|---|---|
| 1–6 oktober: baseline | 39,4% | 50,4% |
| 7–8 oktober: droneaanval op Sasovo | 39,2% (−0,2%) | 48% (-2,4%) |
| 9 oktober: droneaanval op Kaluga | 39,4% (+0%) | 42,5% (-7,9%) |
| 11 oktober: droneaanval op Vladimir | 39,5% (+0,1%) | 42,2% (−8,2%) |
| 12 oktober | 39,6% (+0,2%) | 43,6% (−6,8%) |
| 13 oktober | 39,5% (+0,1%) | 42,1% (−8,3%) |
\ Radar rapporteert wereldwijd verkeer via zowel totale HTTP-verzoeken als HTML-verzoeken (een benadering van een paginaweergave). De bovenstaande tabel reflecteert het totale request-volume.*
Impact op Yandex Search ASN (AS13238): minder zoek-crawling
De daling bij Yandex Search ASN bestond bijna volledig uit zoek-crawling. Uit steekproeven bleek dat 78,1% behoorde tot de geverifieerde YandexBot, 11,5% tot YandexRenderResourcesBot en 1,9% tot YandexImages.
Onder de websites en diensten zag het segment 'Publicaties en Kranten' de steilste daling, waar het verkeer vanuit Yandex-netwerken met 44% afnam. Ongeveer 90% van het verkeer vóór het incident naar nieuwssites vanuit dit ASN was YandexBot die artikelen indexeerde, waarbij 40,5% van de Cloudflare-klanten HTTP 403 Forbidden-responses terugstuurden omdat de site-eigenaar de crawler had geblokkeerd. Toen het Yandex Search ASN offline ging, zagen klanten simpelweg minder indexering door Yandex.
Impact op Yandex.Cloud ASN (AS200350): legitiem gebruik en migrerend kwaadaardig verkeer
Yandex.Cloud vertoonde een volledig ander profiel. Na de meldingen van de aanvallen daalde het botverkeer van Yandex.Cloud met ongeveer 40%. Verschillende categorieën die lijken op aanvallen vertoonden bijzonder scherpe dalingen. Zo daalde het pollen naar WordPress-plugins met 90% en daalden verzoeken geïdentificeerd als scanners met 93%. Opvallend genoeg daalden ook de blokkades door Cloudflare-klanten op Yandex.Cloud-verkeer met 70% tijdens de eventperiode, wat suggereert dat er proportioneel minder kwaadaardig verkeer vanuit dit ASN de Cloudflare WAF bereikte.
Impact op business-verticalen
Het botverkeer van Yandex.Cloud is ook interessant wanneer we kijken naar de topindustrieën van de bestemmingsverzoeken:
| Bestemmingsindustrie | Botverkeer vóór incident | Botverkeer tijdens incident (7-13 okt) | Verandering | Aandeel 4xx (clientfout) HTTP-status: vóór → tijdens |
|---|---|---|---|---|
| Computersoftware | 24,24M | 15,18M | −37,4% | 18,5% → 15,9% |
| Gokken (Gambling) | 23,01M | 18,80M | −18,3% | 99,1% → 99,3% |
| Media incl. adult | 1,33M | 223,1K | −83,3% | 82,0% → 61,8% |
| Internet en telecom | 524,2K | 206,5K | −60,6% | 71,4% → 51,1% |
| Reizen / toerisme | 363,9K | 158,1K | −56,6% | 27,0% → 12,3% |
| Retail / groothandel | 316,0K | 167,7K | −46,9% | 71,0% → 55,9% |
| Gaming / computerspellen | 226,3K | 63,2K | −72,1% | 51,4% → 9,2% |
| Publicaties / kranten | 90,8K | 8,8K | −90,3% | 90,2% → 61,4% |
Het grootste deel van het verkeer van het Yandex.Cloud ASN viel in twee categorieën: computersoftware en gokken. De categorie computersoftware was voorspelbaar voor een ASN dat bedoeld is om applicaties van derden en software-integraties te hosten. Sterker nog, we zagen dat api.cloudflare.com een van de top-hostnames is voor Yandex.Cloud-verkeer. Een grote meerderheid van dat verkeer was succesvol (verzoeken gaven 200-responses terug), zowel vóór als tijdens het incident, wat wijst op legitiem gebruik.
De goksector biedt het duidelijkste bewijs dat kwaadaardige automatisering verhuisde in plaats van verdween. Bijna alle botverzoeken van Yandex.Cloud waren gericht op één gokaccount van een klant, waarbij het verkeer verschoof tussen de hostnames van deze klant. Direct na de verstoring van 8 oktober daalden de botverzoeken van Yandex.Cloud naar dit account naar nul. Tegelijkertijd verschenen identieke verzoeken vanuit andere Russische hosting-ASNs, waaronder Radist en Selectel. Het inkomende verkeer behield een identieke vingerafdruk over de providers heen:
- Dezelfde JA4 TLS-client fingerprint
- Dezelfde ongebruikelijke request-paden en HTTP-headers
- Dezelfde aangepaste User-Agent strings
In totaal bleef het Russische botverkeer gericht op gokaccounts gedurende de week vrijwel gelijk, met een verschuiving van 167,7 miljoen naar 170,1 miljoen verzoeken (+1,4%). De automatisering stopte nooit; de operators migreerden simpelweg hun workloads naar alternatieve cloudproviders zodra Yandex.Cloud onbeschikbaar werd.
In de meeste industrieën daalde het aandeel botverzoeken van Yandex.Cloud die een HTTP 4xx-respons gaven. Dit komt grotendeels door de afname van het bovengenoemde aanvals-achtige verkeer. Dit, in combinatie met de analyse van de gokklant, laat zien dat kwaadaardig verkeer dat via Yandex.Cloud werd verzonden, simpelweg zijn "diensten" verplaatste naar andere providers na de serviceonderbreking.
Ten slotte vonden we bij de analyse van sociale media-verkeer geen onverwachte veranderingen, noch vanuit Russische IP-adressen (0,6% afname in totaal verkeer) noch wereldwijd (1,2% toename). We herhaalden de analyse op botverkeer dat gericht was op de "post", "reply" en "like" endpoints voor een specifiek sociaal mediaplatform en vonden ook hier geen onverwachte verschuiving. Op basis van onze beoordeling lijken de data de claims niet te ondersteunen dat de aanvallen sociale mediamanipulatie hebben verlamd, hoewel we zonder externe data niet definitief kunnen zeggen dat er geen verband is.
Conclusie: wat de data ons vertelden (en wat niet)
Toen het verkeer van de Yandex-netwerken instortte, verspreidde zich de speculatie dat Russische beïnvloedingsoperaties en kwaadaardige botnets een zware klap hadden gekregen. De data van Cloudflare vertellen een ander verhaal: er was geen bewijs dat de aanvallen sociale mediamanipulatie offline hebben gehaald of kwaadaardige activiteit op internet hebben verstoord. In plaats daarvan toonden de data het volgende aan:
- Zoekindexering nam af. De overweldigende meerderheid van het verkeer dat wegviel bij het Yandex Search ASN bestond uit geverifieerde YandexBot-crawlers die nieuwsartikelen en webassets ophaalden. De belangrijkste impact was een verminderde vindbaarheid van content in Yandex Search.
- Kwaadaardige automatisering migreerde in plaats van te stoppen. Hoewel kwetsbaarheidsscanning en plugin-probing tijdelijk afnamen op Yandex.Cloud, verhuisden operaties met een hoog volume snel naar alternatieve hostingnetwerken.
Een netwerkonderbreking betekent dat specifieke servers stopten met het verzenden van verzoeken, maar het betekent niet dat een geautomatiseerde dreiging is verdwenen. Cloud-workloads zijn draagbaar; wanneer een datacenter uitvalt of een IP-prefix wordt geblokkeerd, kunnen operators hun scripts binnen enkele uren migreren naar een andere provider.
Onze analyse dient als herinnering dat het verkeersvolume van een client-ASN een onbetrouwbare indicator is voor het interpreteren van geautomatiseerd botgedrag. Verdediging tegen geautomatiseerde dreigingen vereist inspectie van het verzoekgedrag — zoals het identificeren van gedeelde JA4-fingerprints, het monitoren van anomale request-rates en het toepassen van WAF-regels op gevoelige endpoints — ongeacht uit welk netwerk het verzoek komt. Fysieke infrastructuur is statisch, maar kwaadaardige automatisering is gebouwd om te bewegen.
Groetjes,