كشف تحليل جديد من Cloudflare عن نتيجة مثيرة للقلق بعد تعطل مراكز بيانات Yandex إثر ضربات جوية في الفترة بين 7 و11 أكتوبر. فبينما كان يُعتقد أن هذه الضربات أدت إلى إيقاف الروبوتات الروسية وعمليات التأثير الخبيثة، أظهرت البيانات أن الروبوتات الضارة لم تختفِ، بل هاجرت ببساطة إلى مزودي استضافة آخرين.
تفاصيل التعطل وتأثيره
وقعت الضربات الجوية بين 7 و11 أكتوبر، مستهدفة ثلاث منشآت لـ Yandex في روسيا، مما أدى إلى تعطل تدريجي لمراكز البيانات وسعة الشبكة. بلغ هذا التعطل ذروته في 11 أكتوبر، حيث انخفضت حركة المرور بنسبة 99% لشبكة Yandex Search (AS13238) وبنسبة 90% لخدمات Yandex.Cloud (AS200350). واستمرت الشبكتان في العمل بشكل مضطرب حتى 13 أكتوبر، لتستقر عند 86-90% دون المستوى الطبيعي.
حللت Cloudflare تأثير التعطل على رقمي النظام المستقلين (ASNs) المرتبطين بـ Yandex. ASN13238 الخاص بمحرك البحث Yandex شهد انخفاضاً في حركة المرور التي كانت تتكون بالكامل تقريباً من برامج الزحف (crawlers) الموثوقة لمحركات البحث. أما ASN200350 الخاص بخدمات Yandex.Cloud، فقد شهد انخفاضاً في الأنشطة الخبيثة مثل فحص الثغرات، لكن الأتمتة عالية الحجم لم تختفِ.
كيف تكيفت الروبوتات الخبيثة؟
المفاجئ هو أن الروبوتات الضارة التي كانت تعمل عبر Yandex.Cloud، خاصة تلك التي تستهدف قطاع المقامرة، لم تتوقف. فور تعطل Yandex.Cloud، بدأت طلبات الروبوتات المتطابقة بالظهور من ASNs استضافة روسية أخرى، مثل Radist و Selectel. وقد حافظت هذه الطلبات على نفس البصمة التقنية عبر المزودين الجدد، بما في ذلك نفس بصمة عميل JA4 TLS، ومسارات الطلبات غير الشائعة، ورؤوس HTTP المخصصة، وسلاسل User-Agent.
بشكل عام، ظلت حركة مرور الروبوتات الروسية التي تستهدف حسابات المقامرة ثابتة تقريباً خلال الأسبوع، حيث ارتفعت بنسبة 1.4% فقط، من 167.7 مليون إلى 170.1 مليون طلب. هذا يشير بوضوح إلى أن المشغلين قاموا بترحيل أعباء عملهم إلى مزودي سحابة بديلة بمجرد تعطل Yandex.Cloud.
لم يلاحظ أي تغييرات غير متوقعة في حركة مرور وسائل التواصل الاجتماعي، سواء من عناوين IP الروسية المنشأ أو عالمياً.
ماذا يعني هذا للمطورين والمصممين؟
نرى أن هذا الحدث يسلط الضوء على مرونة وقدرة الروبوتات الخبيثة على التكيف مع اضطرابات البنية التحتية. بالنسبة للمطورين وفرق الأمن، هذا يعني أن الاعتماد على مجرد تعطيل مصدر استضافة واحد قد لا يكون كافياً لإيقاف الهجمات المستمرة. يجب التركيز على آليات الكشف والاستجابة السلوكية التي يمكنها تحديد أنماط حركة المرور الخبيثة بغض النظر عن مصدرها، والتحقق من بصمات الطلبات الفريدة التي يمكن أن تشير إلى ترحيل الأنشطة الضارة. كما يؤكد على أهمية الاستراتيجيات الأمنية متعددة الطبقات التي لا تعتمد على نقاط فشل فردية.
المصدر: blog.cloudflare.com