Summary

  • Der Rückgang bei Yandex Search bestand laut Cloudflare überwiegend aus weniger verifizierten Crawlern; die Stichprobe bei Yandex.Cloud umfasste sowohl normale Anwendungen als auch automatisierte Anfragen mit Angriffsmerkmalen.
  • Anfragen mit gleichem JA4-Fingerabdruck, Pfaden, Headern und User-Agent tauchten bei anderen russischen Hostern auf, nachdem der Verkehr von AS200350 zu einem bestimmten Kundenkonto versiegt war. Das stützt die Verlagerung dieses beobachteten Vorgangs, identifiziert aber weder einen Betreiber noch die Lage im gesamten Internet.

Eine autonome Systemnummer (ASN) weist auf das Netz hin, aus dem eine Anfrage kam. Sie sagt für sich genommen nicht, was die Anfrage tat, wer sie steuerte oder ob dieselbe Aktivität andernorts weiterlief. Die Unterbrechung rund um Yandex im Oktober macht diese Grenze anschaulich: Sowohl das Suchnetz als auch die Cloud-Infrastruktur verloren Verkehr, doch die Automatisierung dort hatte unterschiedliche Aufgaben und hinterließ unterschiedliche Spuren.

Cloudflare veröffentlichte seine Analyse am 14. Oktober auf Basis von Radar- und Bot-Management-Daten aus dem eigenen Netz. Am 11. Oktober lag der Verkehr bei Yandex Search (AS13238) laut Unternehmen 99 Prozent unter dem Referenzwert, bei Yandex.Cloud (AS200350) 90 Prozent darunter. Am 13. Oktober blieben beide Netze 86 bis 90 Prozent unter dem Normalniveau; am 14. Oktober um 18 Uhr UTC lag der gemessene Verkehr bei 85 Prozent des Üblichen. Das sind Messungen eines Anbieters, keine Vollerhebung des russischen Internets.

Auch den Auslöser sollte man sauber zuordnen. Yandex berichtete öffentlich von Schäden und Serviceausfällen an Anlagen in Sasowo, Kaluga und Wladimir; Cloudflare datiert die gemeldeten Angriffe auf den Zeitraum vom 7. bis 11. Oktober. Der physische Vorfall hilft, den Kapazitätsverlust zu erklären. Er identifiziert nicht die Verantwortlichen sämtlicher Anfragen, die zuvor über diese Netze liefen, und belegt auch nicht, dass Yandex den später bei anderen Hostern sichtbaren Verkehr betrieb.

AS13238 ist der klarere Fall. Cloudflare stufte 99,5 Prozent der beobachteten Anfragen aus diesem ASN als automatisiert ein; 93,6 Prozent dieser Bot-Anfragen galten als verifiziert. Die Stichprobe enthielt YandexBot, YandexRenderResourcesBot und YandexImages – passend zum Indexieren und Rendern von Webseiten. Etwa 90 Prozent des Verkehrs von diesem ASN zu Nachrichtenseiten vor dem Ereignis entfielen laut Cloudflare auf YandexBot beim Indexieren von Artikeln. Mit dem Ausfall sanken daher vor allem Crawling und Auffindbarkeit in der Yandex-Suche. „Bot“ meinte hier überwiegend einen Suchdienst bei seiner vorgesehenen Arbeit, keinen Angriff.

Die Yandex.Cloud-Stichprobe war heterogener. Rund 95 Prozent der bewerteten Anfragen seien Bots gewesen, meldete Cloudflare; keine der beobachteten Bot-Anfragen sei durch das eigene System verifiziert worden. Daraus folgt nicht, dass jede Anfrage bösartig war. Fast zwei Drittel sendeten Daten an Websites; Software und Integrationen spielten eine große Rolle, und die Mehrheit der Anfragen aus dem Softwarebereich lieferte vor wie während der Störung HTTP 200. Ein Cloud-ASN beherbergt Kunden-Workloads. Das Netzlabel ersetzt keine Verhaltensprüfung des einzelnen Workloads.

Cloudflare verzeichnete zugleich Rückgänge bei konkreten, angriffsähnlichen Aktivitäten: Bot-Verkehr aus AS200350 sank um etwa 40 Prozent, WordPress-Plug-in-Scans um 90 Prozent, als Scanner erkannte Anfragen um 93 Prozent. Kundenseitige Sperren gegen Yandex.Cloud-Verkehr gingen um 70 Prozent zurück. Im Beobachtungsbereich von Cloudflare war der Zustrom aus diesem ASN also tatsächlich unterbrochen. Das beantwortet noch nicht, ob ein bestimmter Vorgang endete.

Dazu verfolgte der Bericht Anfragen bis zum Konto eines Kunden aus dem Glücksspielbereich. Fast alle Yandex.Cloud-Bot-Anfragen dieses Segments hätten sich an dieses Konto und dessen verschiedene Hostnamen gerichtet. Nach der Unterbrechung am 8. Oktober fielen Anfragen aus AS200350 an das Konto auf null. Gleichzeitig beobachtete Cloudflare bei anderen russischen Hosting-ASNs, darunter Radist und Selectel, Anfragen mit demselben JA4-TLS-Fingerabdruck, ungewöhnlichen Pfaden und Headern sowie individuellen User-Agents.

Der russische Bot-Verkehr zu Glücksspielkonten in der Stichprobe stieg von 167,7 Millionen Anfragen vor dem Ereignis auf 170,1 Millionen währenddessen, ein Plus von 1,4 Prozent.

Das ist ein stärkerer Kontinuitätshinweis als der Vergleich nationaler Kurven: Mehrere Anfrage-Merkmale tauchten an derselben Kundengrenze wieder auf, als das ursprüngliche ASN verstummte. Es stützt Cloudflares Einschätzung, dass sich der beobachtete Vorgang verlagerte. Die Aussage bleibt jedoch begrenzt. Sie zeigt weder, dass alle Bots umzogen, noch wer sie betrieb, welche Absicht ein einzelner Fingerabdruck beweist oder wie der Verkehr außerhalb des Cloudflare-Netzes aussah. JA4 ist ein technischer Kontinuitätshinweis, keine menschliche Identität.

Cloudflare erklärt selbst, dass Daten außerhalb des eigenen Netzes nötig wären, um einen möglichen Zusammenhang mit Manipulation in sozialen Medien abschließend zu beurteilen.

Auch bei Aggregaten muss der Nenner sichtbar bleiben. Cloudflare zufolge machten automatisierte Anfragen vom 1. bis 6. Oktober 39,4 Prozent des globalen HTTP-Anfragevolumens im eigenen Netz aus, am 11. und 13. Oktober jeweils 39,5 Prozent. Bei Anfragen aus Russland sank der Anteil von 50,4 Prozent in der Referenzperiode auf 42,2 Prozent am 11. und 42,1 Prozent am 13. Oktober. Das sind Anteile beobachteter Anfragen, keine absoluten Zahlen von Bots oder Personen. Ein stabiler globaler Anteil kann mit einem regionalen Rückgang, dem Einbruch eines ASN und der Verlagerung eines Vorgangs zu einem einzelnen Kunden zusammenfallen.

Für den Betrieb folgt daraus eine Reihenfolge von Fragen. Zuerst: Ist der Weg über den Anbieter ausgefallen? Danach: Hat das problematische Verhalten aufgehört, sein Ziel geändert oder einen anderen Host gewählt? Für die zweite Frage braucht es eine zeitlich passende Referenz sowie Belege zu Zielen und Anfrage-Merkmalen, nicht bloß die Summe eines ASN. Ein Einbruch beim Ursprungsnetz kann Suche und reguläre Cloud-Kunden beeinträchtigen, selbst wenn ein verdächtiger Ablauf anderswo weitergeht.

Heng Lus Note 65, „Running-Code Primacy“, dient hier nur als redaktionelle Perspektive: Entscheidend ist, was laufende Komponenten tatsächlich tun, nicht ein Etikett als Ersatz für Verhalten. Die Note ist kein Beleg für Vorgänge bei Yandex, Cloudflare oder diesem Ereignis. Die begrenzte Anwendung lautet: Ein ASN-Diagramm lokalisiert einen Pfad; Anfrage-Merkmale helfen zu prüfen, was darüber lief und was nach seinem Ausfall geschah.

Quellen: Cloudflares Analyse; Yandex-Mitteilung vom 9. Oktober; Yandex-Mitteilung für Investoren vom 11. Oktober; Cloudflares Dokumentation zu verifizierten Bots; Heng Lu, Note 65; die Traffic-Ansicht von Cloudflare Radar.