Η παραπλανητική φύση των aggregate traffic metrics

Μετά τις επιθέσεις στις υποδομές της Yandex, κυκλοφόρησαν αναφορές ότι οι ρωσικές «φάρμες bot» τέθηκαν εκτός λειτουργίας. Ωστόσο, η ανάλυση της Cloudflare Radar αποκαλύπτει μια διαφορετική πραγματικότητα. Η πτώση της κίνησης στα δύο κύρια ASNs της Yandex (AS13238 για αναζήτηση και AS200350 για cloud services) δεν σήμανε τον τερματισμό των κακόβουλων δραστηριοτήτων, αλλά την ανακατανομή τους.

Διαφοροποίηση ρόλων: Search vs Cloud ASN

Η ανάλυση ανέδειξε δύο διαφορετικά προφίλ κίνησης:

  • Yandex Search (AS13238): Το 99,5% των αιτημάτων ήταν αυτοματοποιημένα, με τη συντριπτική πλειοψηφία να αφορά verified bots (YandexBot) που εκτελούσαν indexing. Η πτώση εδώ είχε ως αποτέλεσμα τη μείωση της ανακαλυψιμότητας περιεχομένου.
  • Yandex.Cloud (AS200350): Εδώ η εικόνα ήταν πιο σύνθετη. Παρόλο που παρατηρήθηκε μείωση σε vulnerability scanning και probing, η υψηλού όγκου αυτοματοποίηση (κυρίως στον τομέα του gambling) μετακινήθηκε άμεσα σε άλλους παρόχους.

Η φορητότητα των botnets ως αρχιτεκτονική πρόκληση

Το κρίσιμο εύρημα της έρευνας είναι η διατήρηση του ίδιου JA4 TLS fingerprint και των ίδιων request paths κατά τη μετάβαση των bots σε νέα hosting networks. Αυτό επιβεβαιώνει ότι οι φορείς των επιθέσεων διαθέτουν ευέλικτες υποδομές που επιτρέπουν τη γρήγορη μετανάστευση των workloads.

Συμπεράσματα για την ασφάλεια

Η φυσική υποδομή είναι στατική, αλλά η κακόβουλη αυτοματοποίηση είναι σχεδιασμένη να είναι δυναμική. Η εμπιστοσύνη σε metrics επιπέδου δικτύου (ASN traffic) αποτελεί σημείο συμφόρησης (bottleneck) για την κατανόηση του threat landscape. Οι ομάδες ασφαλείας οφείλουν να εστιάζουν σε:

  1. Fingerprinting: Χρήση JA4 για την αναγνώριση των επιτιθέμενων ανεξαρτήτως IP.
  2. Behavioral Analysis: Παρακολούθηση ανώμαλων ρυθμών αιτημάτων (request rates).
  3. WAF Rules: Εφαρμογή κανόνων σε ευαίσθητα endpoints, ανεξάρτητα από το δίκτυο προέλευσης.