Panne de Yandex : les bots malveillants ont déménagé, selon Cloudflare

Entre le 7 et le 11 octobre, des frappes de drones attribuées à l’Ukraine ont touché trois sites de Yandex en Russie, à Sassovo, Kalouga et Vladimir, selon Cloudflare. Les centres de données ont été mis hors service les uns après les autres.

D’après les mesures de Cloudflare Radar, le trafic s’est effondré le 11 octobre : il est tombé 99 % sous son niveau habituel pour le moteur de recherche Yandex et 90 % pour Yandex.Cloud, le service d’hébergement. Après une brève reprise partielle, les deux réseaux restaient le 13 octobre entre 86 et 90 % sous la normale. Le 14 octobre à 20 h, heure de Paris, le trafic atteignait 85 % de son niveau normal, selon Cloudflare.

Sur Internet, cette chute a alimenté l’idée que les fermes de bots et les opérations d’influence russes avaient été coupées. Cloudflare met en garde contre cette lecture : une baisse du trafic global montre seulement que le réseau est tombé, pas que les robots malveillants ont disparu.

Yandex utilise deux systèmes autonomes, des blocs d’adresses gérés séparément sur Internet. Le premier, AS13238, sert au moteur de recherche : 99,5 % de ses requêtes étaient automatisées, et 93,6 % de ses robots étaient des robots « vérifiés », c’est-à-dire des robots d’indexation identifiés. Le second, AS200350, héberge Yandex.Cloud : environ 95 % de ses requêtes provenaient de robots, mais aucun n’était vérifié. Ils ressemblaient davantage à des logiciels, écrits en JavaScript, Python ou Go.

La baisse observée sur le réseau du moteur concernait presque uniquement l’indexation des sites. Selon Cloudflare, 78,1 % des requêtes échantillonnées venaient de YandexBot, 11,5 % de YandexRenderResourcesBot et 1,9 % de YandexImages. Les éditeurs de presse ont vu le trafic issu de Yandex reculer de 44 %. Avant l’événement, 40,5 % des clients de Cloudflare concernés bloquaient déjà ce robot. La conséquence principale est donc une moindre découverte des contenus dans le moteur de Yandex, résume Cloudflare.

Sur Yandex.Cloud, le trafic des robots a chuté d’environ 40 %. Les sondages de failles dans les extensions WordPress ont reculé de 90 % et les requêtes de scanners de 93 %, d’après Cloudflare. Les blocages effectués par ses clients sur ce réseau ont baissé de 70 %.

Mais l’exemple des jeux d’argent montre, selon Cloudflare, que l’automatisation malveillante a déménagé. Presque tous les robots de Yandex.Cloud visaient le compte d’un même client du secteur. Leurs requêtes sont tombées à zéro après la coupure du 8 octobre, puis des requêtes identiques sont apparues depuis d’autres hébergeurs russes, dont Radist et Selectel. Elles portaient la même empreinte TLS JA4, une signature technique de la connexion, ainsi que les mêmes chemins et les mêmes en-têtes. Sur la semaine, le trafic des robots russes vers les sites de jeux d’argent est passé de 167,7 à 170,1 millions de requêtes, soit une hausse de 1,4 %.

À l’échelle mondiale, la part des robots dans le trafic web de Cloudflare est restée stable, autour de 39,4 %. Pour le trafic d’origine russe, elle est passée de 50,4 % avant les frappes à 42,1 % le 13 octobre, une baisse que Cloudflare juge proportionnelle au trafic de Yandex disparu.

Sur les réseaux sociaux, l’entreprise n’a relevé aucun changement inattendu. Le trafic d’origine russe a reculé de 0,6 % sur la période. Les données « ne semblent pas étayer » l’idée que les frappes ont paralysé la manipulation en ligne, écrit Cloudflare, qui précise ne pas pouvoir exclure tout lien sans données extérieures. Pour l’entreprise, les charges de travail dans le cloud sont portables : leurs opérateurs peuvent les déplacer chez un autre fournisseur en quelques heures.