Yandex 中断：数据显示恶意机器人并未销声匿迹，而是转移了阵地
内容提要
2026年10月乌克兰无人机袭击Yandex数据中心后，外界猜测俄罗斯机器人网络瘫痪。Cloudflare分析显示，Yandex搜索ASN流量下降主要因合法爬虫减少；Yandex云ASN的恶意扫描虽短暂下降，但赌博等自动化攻击迅速迁移至其他俄罗斯主机商，指纹相同，总量基本持平。结论：网络中断不等于威胁消失，防御应关注请求行为而非流量来源。
延伸解读
流量下降不等于威胁消失
Yandex 网络中断后，整体 HTTP 流量骤降，但这主要反映合法爬虫减少。Cloudflare 数据显示，恶意扫描和探测虽短暂下降，但赌博等自动化攻击迅速迁移至其他俄罗斯主机商，指纹相同，总量基本持平。因此，仅凭流量下降判断威胁消失会严重误判形势。
恶意自动化具有高度可移植性
Yandex.Cloud 的恶意流量在中断后并未消失，而是转移至 Radist、Selectel 等提供商。攻击者使用相同的 JA4 TLS 指纹、请求路径和 User-Agent，表明其工作负载可快速迁移。云环境的可移植性使得攻击者能在数小时内更换基础设施，防御方需关注行为特征而非固定 IP。
防御应聚焦请求行为而非来源
文章指出，客户端 ASN 流量体积不能可靠反映自动化威胁。防御者应检查请求行为，如识别共享 JA4 指纹、监控异常请求率，并对敏感端点应用 WAF 规则。无论请求来自哪个网络，基于行为的检测才能有效应对可迁移的恶意自动化。
Q&A
Yandex数据中心被袭击后，恶意机器人真的消失了吗？
没有。Cloudflare分析显示，虽然Yandex云ASN的恶意扫描短暂下降，但赌博等自动化攻击迅速迁移到其他俄罗斯主机商，指纹相同，总量基本持平。恶意机器人并未销声匿迹，而是转移了阵地。
Yandex搜索ASN和Yandex云ASN在袭击中受到的影响有什么不同？
Yandex搜索ASN（AS13238）流量下降几乎全是合法搜索爬虫（如YandexBot）减少，主要影响新闻等内容的索引；Yandex云ASN（AS200350）的恶意扫描和探测下降，但高流量自动化攻击迁移到其他主机商，总量未减。
为什么说网络中断不等于威胁消失？
因为云工作负载具有可移植性。当数据中心瘫痪或IP前缀被封锁时，攻击者可以在几小时内将脚本迁移到其他提供商。例如，Yandex云上的赌博攻击在中断后立即从其他俄罗斯主机商（如Radist和Selectel）出现，请求指纹完全相同。
Cloudflare是如何判断恶意机器人迁移的？
通过分析请求行为，如相同的JA4 TLS客户端指纹、不常见的请求路径和HTTP头、相同的自定义User-Agent字符串。这些指纹在迁移后保持不变，表明是同一批攻击者。
袭击期间俄罗斯来源的机器人流量有何变化？
俄罗斯来源的机器人请求比例从事件前的50.4%下降到事件期间的42%左右，但全球机器人请求比例保持稳定（约39.4%）。俄罗斯来源的下降主要与Yandex网络下线成比例，因为其流量几乎全是自动化请求。
这次事件对社交媒体操纵活动有影响吗？
没有发现意外变化。俄罗斯来源IP的社交媒体总流量下降0.6%，全球增加1.2%；针对特定社交媒体平台的帖子、回复和点赞端点的机器人流量，俄罗斯来源下降5.7%，全球增加1.1%。数据不支持袭击瘫痪了社交媒体操纵的说法。
防御自动化威胁应该关注什么？
应关注请求行为，而非仅看流量来源。具体包括识别共享的JA4指纹、监控异常请求速率、对敏感端点应用WAF规则，无论请求来自哪个网络。
