Sự cố Yandex: Dữ liệu cho thấy bot độc hại không biến mất mà chỉ chuyển dịch

Sau các báo cáo về việc trung tâm dữ liệu của Yandex bị tấn công, trên Internet đã xuất hiện nhiều thông tin cho rằng các trang trại bot (bot farm) và các chiến dịch thao túng thông tin của Nga đã bị đánh sập. Các biểu đồ lưu lượng HTTP cho thấy sự sụt giảm mạnh, củng cố giả thuyết rằng cơ sở hạ tầng bị hư hại đã ngăn chặn được các tác nhân độc hại này. Tuy nhiên, dữ liệu tổng hợp thường dễ gây hiểu lầm.

Phân tích từ Cloudflare

Yandex vận hành hai hệ thống tự trị (ASN) chính: AS13238 dành cho công cụ tìm kiếm và AS200350 dành cho các dịch vụ cloud. Phân tích từ Cloudflare Radar và công cụ quản lý bot cho thấy tác động lên hai hệ thống này là hoàn toàn khác biệt:

• Yandex Search (AS13238): Lưu lượng truy cập giảm chủ yếu là các trình thu thập dữ liệu (crawlers) hợp lệ dùng để lập chỉ mục trang web và hình ảnh.
• Yandex.Cloud (AS200350): Các hoạt động độc hại như quét lỗ hổng bảo mật có giảm, nhưng các kịch bản tự động hóa quy mô lớn không hề biến mất mà chỉ di chuyển sang các nhà cung cấp hosting khác.

Sự dịch chuyển của bot độc hại

Dữ liệu cho thấy sự sụt giảm lưu lượng HTTP chỉ xác nhận rằng mạng lưới của Yandex gặp sự cố, chứ không đồng nghĩa với việc các bot độc hại bị tiêu diệt. Trong lĩnh vực cờ bạc trực tuyến, Cloudflare ghi nhận các yêu cầu từ Yandex.Cloud giảm về 0 ngay sau sự cố, nhưng ngay lập tức xuất hiện trở lại từ các ASN khác như Radist và Selectel.

Đáng chú ý, các yêu cầu này giữ nguyên “dấu vân tay” (fingerprint) kỹ thuật, bao gồm:

• Cùng mã vân tay JA4 TLS.
• Cùng các đường dẫn yêu cầu và header HTTP bất thường.
• Cùng các chuỗi User-Agent tùy chỉnh.

Tổng lưu lượng bot nhắm vào các tài khoản này vẫn giữ nguyên, chứng minh rằng các nhà vận hành bot đã chủ động di chuyển khối lượng công việc (workload) sang hạ tầng mới ngay khi Yandex.Cloud gặp gián đoạn.

Bài học về an ninh mạng

Sự cố này là lời nhắc nhở rằng lưu lượng truy cập từ một ASN không phải là thước đo đáng tin cậy để đánh giá hành vi của bot. Các workload trên cloud có tính linh hoạt cao, cho phép kẻ tấn công chuyển đổi hạ tầng chỉ trong vài giờ. Việc phòng thủ trước các mối đe dọa tự động đòi hỏi phải kiểm tra sâu vào hành vi yêu cầu (request behavior), giám sát các dấu hiệu bất thường và áp dụng các quy tắc WAF (Web Application Firewall) dựa trên đặc điểm nhận dạng thay vì chỉ dựa vào nguồn gốc IP hay mạng lưới xuất phát.

Nguồn tham khảo: Cloudflare Blog