Данные Cloudflare не подтвердили, что удары беспилотников по Яндексу отключили фермы ботов

Удары беспилотников по дата-центрам Яндекса не отключили российские фермы ботов, как утверждали в сети: по данным Cloudflare¹, затихли в основном поисковые роботы самого Яндекса.

Почему это важно: графики обвала трафика Яндекса разошлись в сети как знак, что вместе с серверами замолчали российские боты и операции влияния. Данные Cloudflare этого не подтверждают: вредоносные программы не остановились, а сменили провайдера.

Предыстория: с 7 по 11 октября беспилотники, по сообщениям украинские, поразили три объекта Яндекса в России. 11 октября трафик из сети, через которую ходят поисковые роботы Яндекса, оказался на 99% ниже обычного, а из сети облачного сервиса Yandex Cloud — на 90%. До 13 октября трафик обеих сетей держался на 86–90% ниже нормы.

Как это работает: у Яндекса две отдельные сети, и боты в них разные:

• Через поисковую сеть ходят роботы, которые индексируют страницы и картинки: 99,5% её запросов автоматические, 93,6% ботов Cloudflare опознала как подлинных роботов Яндекса.
• Облачная сеть Yandex Cloud сдаёт серверы чужим программам: около 95% её запросов отправляли боты, но ни одного из них Cloudflare не опознала как известного добросовестного робота.
• Облачные боты больше похожи на приложения: почти две трети их запросов отправляли сайтам данные, часть представлялась программами на JavaScript, Python и Go.

Детали: сильнее всего пропажу поисковых роботов заметили издатели и газеты — трафик к ним из сетей Яндекса упал на 44%. Около 90% этого трафика составлял робот YandexBot, которому 40,5% клиентов Cloudflare и так закрывали доступ. Сайты просто реже видели этого робота, а пострадал в основном сам поиск Яндекса: он реже находит новые материалы.

В цифрах: в облачной сети после ударов сильнее всего просели запросы, похожие на атаки:

• Общий объём ботовых запросов из Yandex Cloud за время сбоев сократился примерно на 40%, следует из подсчётов Cloudflare.
• Перебор плагинов WordPress, которым ищут уязвимые сайты, упал на 90%, а запросы, опознанные как сканеры уязвимостей, — на 93%.
• Клиенты Cloudflare стали блокировать трафик из этого облака на 70% реже: вредных запросов оттуда стало заметно меньше.

Интрига: куда делись боты, лучше всего видно на сайтах азартных игр — почти все ботовые запросы Yandex Cloud к этой отрасли шли к одному клиенту Cloudflare:

• После сбоя 8 октября запросы к нему из облака Яндекса упали до нуля, хотя раньше шли постоянно.
• В тот же момент такие же запросы, с теми же редкими адресами страниц и заголовками, пошли от российских хостингов Radist и Selectel.
• За неделю ботовый трафик из России к сайтам азартных игр не упал, а вырос на 1,4% — с 167,7 млн до 170,1 млн запросов.

Если шире: необычных сдвигов в трафике соцсетей Cloudflare не нашла. Запросов ботов, которые публикуют посты, отвечают и ставят лайки в одной из соцсетей, из России стало на 5,7% меньше, а в мире — на 1,1% больше, и компания не считает это отклонением от нормы.

Что говорят: проект antibot4navalny, который отслеживает кампании ботов и ферм троллей в соцсетях, ещё 11 октября написал в Bluesky: «Тем, кто намекает, что подконтрольные Кремлю фермы ботов и троллей в соцсетях замолчали после удара по дата-центру Яндекса, и выкладывает этот график Cloudflare: жаль вас разочаровывать».

Но: Cloudflare видит только запросы, которые проходят через её сеть. Компания оговаривается, что без данных извне не может окончательно исключить связь ударов с работой ботов в соцсетях.

Облачные программы легко переносить: когда дата-центр гаснет, операторы за несколько часов перевозят скрипты к другому провайдеру. «Физическая инфраструктура неподвижна, а вредоносная автоматизация создана, чтобы переезжать», — заключают аналитики Cloudflare.