Yandex outage: Data shows that instead of going dark, malicious bots went on the move

Yandex中断事件：数据表明恶意机器人并未停止活动，而是转移了行动 | Cloudflare博客

post

机器人管理

中断

雷达

2026年10月14日

Yandex中断事件：数据表明恶意机器人并未停止活动，而是转移了行动

Marina Elmore 和 Lai Yi Ohlsen

8分钟阅读

复制链接

在针对Yandex数据中心的袭击事件被报道后，网络上流传着俄罗斯机器人农场和影响力操作已被断线的说法。HTTP流量图表显示出现急剧下降，引发猜测基础设施损坏已阻止这些恶意行为者。然而，聚合流量指标很容易产生误导。与Yandex相关联的有两个自治系统编号（ASNs）：AS13238用于Yandex搜索引擎，而AS200350运行其云服务。

通过Cloudflare雷达和机器人管理数据，我们分析了这两个ASNs受到的影响——尽管两者都出现了流量下降，但影响程度不同。

• Yandex搜索（AS13238）：流量下降几乎完全由已验证的搜索爬虫引起，这些爬虫正在索引网页、图片和网站资源。
• Yandex.Cloud（AS200350）：漏洞扫描和探测等恶意活动有所下降，但大流量自动化并未消失——它只是转移到了其他托管提供商。

虽然恶意流量可能来自特定提供商，但这并不一定说明谁对流量负责。要理解为什么这些袭击对恶意流量影响有限，需要分析请求行为，而不仅仅是整体流量模式。

发生了什么：袭击的影响与事件前基准

10月7日至11日期间，据报道乌克兰无人机袭击击中了俄罗斯境内三个Yandex设施，逐步使数据中心和网络容量离线。如Cloudflare雷达所示，这导致10月11日Yandex网络几乎完全崩溃，Yandex搜索（AS13238）流量降至基准值的1%，Yandex.Cloud（AS200350）降至基准值的10%。尽管短暂部分恢复，但两个网络在10月13日仍保持中断状态，流量稳定在正常基准值的86-90%以下。（截至10月14日18:00 UTC，流量已恢复至正常水平的85%。）

总体HTTP流量下降只能确认网络中断的事实。它无法揭示恶意或规避型机器人是否受到干扰。通过查看事件前自动化基准，我们发现袭击发生前，Cloudflare网络全球观测到的HTTP流量中，自动化请求占比36.1%，来自俄罗斯IP地址的流量占比35.8%。

由于这两个受影响ASNs承担着不同角色，中断对自动化活动产生了不同影响。

Yandex搜索ASN（AS13238）用于搜索索引爬取。Cloudflare将其中99.5%的请求分类为自动化请求，其机器人请求的93.6%被验证为合法。我们的分析显示，该ASN的流量用于页面索引、页面渲染和图片渲染，这与搜索爬虫的一致行为相符。Yandex搜索ASN提供了约7%的俄罗斯来源机器人请求，仅占全球总量的0.05%。

Yandex.Cloud ASN（AS200350）是一个云托管网络，其自动化混合配置非常不同。大约95.0%的请求被判定为机器人流量，但Cloudflare并未验证其中任何请求。Yandex.Cloud的机器人流量更像软件应用：近三分之二的请求向网站发送数据，其中一些请求标识为JavaScript、Python或Go程序，且更多请求发送至软件公司而非Yandex搜索引擎机器人。Yandex.Cloud ASN贡献了约2%的俄罗斯来源机器人请求，仅占全球总量的0.01%。

事件对机器人流量的整体影响

"机器人流量"指Cloudflare网络中网站接收到的自动化请求（如爬虫和脚本），不特指社交媒体平台的活动。随着Yandex网络容量下降，其机器人请求也同步减少。这是预期结果：Yandex搜索和Yandex.Cloud的几乎所有流量均为自动化请求。虽然我们观察到总流量的明显下降，但未发现任何证据表明Yandex流量下降与全球恶意流量中断存在关联。

俄罗斯来源的机器人请求下降比例与Yandex网络离线流量比例基本一致，因为这些网络的大部分请求均为自动化请求。

UTC+3时间

全球机器人请求（占所有HTTP请求的百分比）*

俄罗斯来源机器人请求（占俄罗斯来源HTTP请求的百分比）

10月1-6日：事件前基准线

39.4%

50.4%

10月7-8日：萨索沃无人机袭击

39.2%（-0.2%）

48%（-2.4%）

10月9日：卡卢加无人机袭击

39.4%（+0%）

42.5%（-7.9%）

10月11日：弗拉基米尔无人机袭击

39.5%（+0.1%）

42.2%（-8.2%）

10月12日

39.6%（+0.2%）

43.6%（-6.8%）

10月13日

42.1%（-8.3%）

*雷达系统通过总HTTP请求和HTML请求（页面浏览量的近似值）两种方式报告全球流量。上表反映的是总请求数量。

对Yandex搜索ASN（AS13238）的影响：搜索爬虫减少

Yandex搜索ASN的流量下降几乎完全归因于搜索爬虫减少。抽样请求显示，78.1%属于已验证的YandexBot，11.5%属于YandexRenderResourcesBot，1.9%属于YandexImages。

在网站和服务行业，降幅最显著的是出版与新闻行业，Yandex网络流量下降了44%。事件前，该ASN发送至新闻网站的流量中约90%来自YandexBot抓取文章，Cloudflare客户中有40.5%返回HTTP 403 Forbidden响应，因为网站所有者阻止了爬虫。当Yandex搜索ASN离线时，客户仅观察到Yandex的抓取索引减少。

对Yandex.Cloud ASN（AS200350）的影响：合法使用与恶意流量迁移

Yandex.Cloud呈现出完全不同的特征。在报道的袭击事件后，Yandex.Cloud的机器人流量下降约40%。多个攻击类别的流量出现显著下降。例如，WordPress插件探测下降90%，扫描器识别请求下降93%。有趣的是（且具有启发性的是），在事件期间，Cloudflare客户对Yandex.Cloud流量的拦截也下降了70%，表明来自该ASN的恶意流量比例相对减少，甚至到达Cloudflare WAF的恶意流量也更少。

对业务领域的影响

按顶级请求目的地行业划分，Yandex.Cloud的机器人流量也值得关注：

目的地行业

事件前机器人流量

事件期间机器人流量（10月7-13日）

变化

4xx（客户端错误）HTTP响应状态占比：预事件 → 事件期间

计算机软件

2424万

1518万

-37.4%

18.5% → 15.9%

赌博

2301万

1880万

-18.3%

99.1% → 99.3%

媒体（含成人内容）

133万

22.3万

-83.3%

82.0% → 61.8%

互联网和电信

52.4万

20.6万

-60.6%

71.4% → 51.1%

旅游/旅游业

36.3万

15.8万

-56.6%

27.0% → 12.3%

零售/批发

31.6万

16.7万

-46.9%

71.0% → 55.9%

游戏/电脑游戏

22.6万

6.3万

-72.1%

51.4% → 9.2%

出版/报纸

9.08万

0.88万

-90.3%

90.2% → 61.4%

Yandex.Cloud ASN的流量主要集中在两个行业类别：计算机软件和赌博。对于旨在托管第三方应用和软件集成的ASN来说，计算机软件类别是可预测的。事实上，我们甚至发现api.cloudflare.com是Yandex.Cloud请求流量的主要主机名。在事件发生前后，该流量的大部分请求都成功返回（200状态码），表明是合法使用。

赌博行业最清晰地证明了恶意自动化并未消失，而是转移了。Yandex.Cloud的几乎所有机器人请求都针对一个赌博客户账户，流量在该账户的主机名之间切换。10月8日中断事件后，Yandex.Cloud发送到该账户的机器人请求立即降至零。与此同时，相同的请求开始从其他俄罗斯托管ASN（包括Radist和Selectel）出现。跨供应商的流量保持完全相同的指纹特征：

• 相同的JA4 TLS客户端指纹
• 相同的非常见请求路径和HTTP头
• 相同的自定义User-Agent字符串

总体来看，针对赌博账户的俄罗斯机器人流量在一周内基本保持平稳，从1.677亿次请求增至1.701亿次（+1.4%）。自动化攻击从未停止，只是在Yandex.Cloud服务不可用后，操作者将工作负载迁移到了其他云提供商。

在大多数行业，来自Yandex.Cloud的机器人请求返回任何HTTP 4xx响应的占比均下降。这主要是由于上述攻击类流量的减少。结合赌博客户分析，这表明通过Yandex.Cloud发送请求的恶意流量在服务中断后，只是将"服务"转移到了其他提供商。

最后，当我们分析社交媒体流量时，无论是来自俄罗斯IP（事件期间总流量下降0.6%）还是全球范围（总流量上升1.2%），均未发现异常变化。我们对特定社交媒体平台的"发帖"、"回复"和"点赞"接口的机器人流量进行了重复分析，同样未发现来自俄罗斯IP（事件期间总流量下降5.7%）或全球范围（总流量上升1.1%）在事件前后出现异常波动。根据我们的评估，数据似乎不支持"打击使社交媒体操控瘫痪"的说法，但没有Cloudflare以外的数据进行进一步分析，我们无法明确断言两者之间不存在关联。

数据告诉我们的内容——以及未告诉我们的内容

当Yandex网络流量突然中断时，互联网上出现了各种猜测，认为俄罗斯影响力行动和恶意僵尸网络遭受了毁灭性打击。但Cloudflare的数据却讲述了一个不同的故事：在Cloudflare网络中，没有任何证据表明这些攻击使社交媒体操控下线或以其他方式扰乱了互联网上的恶意活动。相反，数据表明：

• 搜索引擎索引下降。从Yandex搜索ASN中消失的流量中，绝大多数是经过验证的YandexBot网络爬虫抓取的新闻文章和网络资源。主要影响是Yandex搜索中的内容发现能力下降。

• 恶意自动化转向了其他网络而非停止。虽然Yandex.Cloud上的漏洞扫描和插件探测暂时下降，但高流量操作迅速转移到了其他托管网络。

网络中断意味着特定服务器停止发送请求，但这并不意味着自动化威胁消失。云工作负载具有可移植性，因此当数据中心断电或IP前缀被封锁时，运营商可以在数小时内将脚本迁移至其他提供商。

我们的分析提醒我们，客户端ASN流量体积并不是解读自动化机器人行为的可靠指标。防御自动化威胁需要检查请求行为，例如识别共享的JA4指纹、监控异常请求速率，并对敏感端点应用WAF规则，无论请求来自哪个网络。物理基础设施是静态的，但恶意自动化设计为可移动的。

目录列

讨论列

相关标签和社交媒体链接

相关标签

在社交媒体上关注

• Cloudflare

电子邮件订阅