Надеждите, че украинските дронове са нанесли съкрушителен удар върху руските „фабрики за ботове“ и са парализирали онлайн операциите за влияние след атаките срещу центровете за данни на „Яндекс“ през октомври, се оказаха прибързани. Анализ на водещата американска компания Cloudflare разкрива една по-сложна и тревожна картина: руските злонамерени ботове не са прекратили дейността си, а просто са се преместили към други доставчици на хостинг услуги.
Между 7 и 11 октомври, украински дронове атакуваха три обекта на „Яндекс“ в Русия, което доведе до драматичен срив на трафика – 99% за търсачката и 90% за облачната платформа „Яндекс.Клауд“. Въпреки че тези цифри изглеждаха като тежък удар, зад тях се криеше способността на автоматизираните заплахи да се адаптират и да продължат работата си почти без прекъсване.
Изследването на Cloudflare разграничи два основни типа трафик от мрежите на „Яндекс“. По-голямата част от отпадналия трафик от търсачката (AS13238) всъщност е била от легитимни ботове, като YandexBot, които индексират уебсайтове. Тяхната функция е да събират данни за търсачката, а не да извършват злонамерени действия. Затова и спадът тук е означавал по-скоро по-малко индексиране на сайтове от „Яндекс“, отколкото прекъсване на враждебни операции.
Съвсем различна е ситуацията с облачната платформа „Яндекс.Клауд“ (AS200350). Тук Cloudflare е наблюдавала предимно автоматизирана активност, която компанията не е потвърдила като легитимна. Тези ботове са извършвали дейности като сканиране за уязвимости и заявки, наподобяващи опити за кибератаки. Когато тази мрежа е била засегната, трафикът от тези злонамерени ботове е намалял значително – например, заявките за проверка на уязвимости в WordPress са спаднали с 90%.
Ключовото откритие обаче е как тези злонамерени операции са продължили. Cloudflare е проследила трафика към хазартни платформи, който преди ударите е идвал предимно от „Яндекс.Клауд“. Веднага след прекъсването на услугите на „Яндекс.Клауд“ на 8 октомври, заявките от тази мрежа са спаднали до нула. В същия момент, идентични заявки – със същите технически характеристики, пътища и User-Agent низове – са започнали да пристигат от други руски хостинг мрежи, като Radist и Selectel. Това е ясен показател за мигновено пренасочване на дейността, а не нейното прекъсване.
В резултат на това, общият трафик от руски ботове към хазартни акаунти е останал почти непроменен през цялата седмица, дори се е увеличил леко. Това доказва, че операторите на тези автоматизирани кампании са успели бързо да прехвърлят своите скриптове и задачи към алтернативни доставчици на облачни услуги, демонстрирайки впечатляваща устойчивост и адаптивност.
По отношение на социалните мрежи, Cloudflare също не е открила необичайна промяна в активността на руски IP адреси, свързана с публикуване на постове, отговори или харесвания. Въпреки че общият трафик от руски IP адреси е намалял леко, глобалният трафик от ботове е останал стабилен, което не подкрепя твърденията за парализирани операции за влияние.
Изводът е ясен: физическите удари по инфраструктурата могат да извадят от строя определени сървъри, но не означават непременно край на автоматизираната заплаха. Облачните услуги позволяват бързо преместване на работни натоварвания, а операторите на ботове могат да прехвърлят своите скриптове към нов доставчик в рамките на часове. Затова ефективната защита срещу автоматизирани заплахи изисква не само наблюдение на общия трафик, но и задълбочен анализ на поведението на заявките, независимо от техния източник.
