Sự cố Yandex: Bot độc hại không biến mất, chúng chỉ chuyển nhà

Sau khi các trung tâm dữ liệu của Yandex tại Nga bị tấn công, nhiều đồn đoán lan truyền trên mạng cho rằng các trang trại bot và chiến dịch gây ảnh hưởng của Nga đã bị vô hiệu hóa. Biểu đồ lưu lượng HTTP sụt giảm mạnh càng củng cố suy đoán này. Nhưng dữ liệu từ Cloudflare lại kể một câu chuyện hoàn toàn khác.

Biểu đồ lưu lượng mạng Yandex sụt giảm sau các cuộc tấn công

Sự cố Yandex: Điều gì thực sự đã xảy ra?

Từ ngày 7 đến 11 tháng 10, các cuộc tấn công bằng drone được cho là của Ukraine đã đánh trúng ba cơ sở hạ tầng của Yandex tại Nga, lần lượt vô hiệu hóa các trung tâm dữ liệu và dung lượng mạng. Theo dữ liệu từ Cloudflare Radar, đỉnh điểm là ngày 11 tháng 10 khi lưu lượng của Yandex Search (AS13238) giảm tới 99% so với mức cơ sở, còn Yandex.Cloud (AS200350) giảm 90%.

Hai ASN (Autonomous System Number) này phục vụ những mục đích hoàn toàn khác nhau, và vì thế chịu tác động cũng rất khác nhau:

• AS13238 (Yandex Search): Chủ yếu phục vụ việc thu thập dữ liệu cho công cụ tìm kiếm. Cloudflare phân loại 99,5% yêu cầu từ ASN này là tự động, trong đó 93,6% được xác minh là bot chính thức.
• AS200350 (Yandex.Cloud): Hạ tầng cloud hosting với thành phần tự động hóa đa dạng hơn. Khoảng 95% yêu cầu được chấm điểm là bot, nhưng không có yêu cầu nào được Cloudflare xác minh là bot hợp pháp.

Bot độc hại không dừng lại, chúng chuyển sang nhà khác

Khi mạng Yandex mất dung lượng, lưu lượng bot từ đây cũng giảm theo — điều này không có gì bất ngờ. Nhưng dữ liệu chi tiết lại cho thấy một bức tranh phức tạp hơn nhiều.

Trên Yandex.Cloud, các hoạt động mang tính tấn công như dò quét lỗ hổng và thăm dò plugin WordPress đã giảm mạnh, cụ thể:

• Dò quét plugin WordPress giảm 90%
• Các yêu cầu bị nhận diện là scanner giảm 93%
• Số lượt chặn của khách hàng Cloudflare với lưu lượng từ Yandex.Cloud giảm 70%

Nhưng đây mới là điểm mấu chốt. Phân tích theo ngành cho thấy phần lớn lưu lượng bot từ Yandex.Cloud tập trung vào hai lĩnh vực: phần mềm máy tính và cá cược (gambling).

Trường hợp điển hình: Chiến dịch bot nhắm vào tài khoản cá cược

Ngành cá cược cung cấp bằng chứng rõ ràng nhất rằng hoạt động tự động hóa độc hại đã di chuyển chứ không biến mất.

Gần như toàn bộ yêu cầu bot từ Yandex.Cloud đều nhắm vào một tài khoản khách hàng cá cược duy nhất, với lưu lượng luân chuyển giữa các hostname của tài khoản này. Ngay sau gián đoạn ngày 8 tháng 10, lưu lượng từ Yandex.Cloud đến tài khoản đó giảm về bằng không.

Nhưng cùng lúc đó, các yêu cầu giống hệt bắt đầu xuất hiện từ những ASN hosting khác của Nga như Radist và Selectel. Dấu vân tay của lưu lượng giữ nguyên không đổi:

Cùng dấu vân tay TLS client JA4, cùng các đường dẫn yêu cầu hiếm gặp, cùng HTTP header và cùng chuỗi User-Agent tùy chỉnh.

Tổng thể, lưu lượng bot Nga nhắm vào tài khoản cá cược gần như không đổi trong suốt tuần, chỉ tăng nhẹ từ 167,7 triệu lên 170,1 triệu yêu cầu (tương đương +1,4%). Hoạt động tự động hóa chưa bao giờ dừng lại — những kẻ vận hành chỉ đơn giản là di chuyển khối lượng công việc sang nhà cung cấp cloud khác sau khi Yandex.Cloud gặp sự cố.

Dấu vân tay JA4 giống hệt nhau xuất hiện từ nhiều nhà cung cấp hosting khác nhau

Điều dữ liệu nói và không nói

Khi lưu lượng từ mạng Yandex sụp đổ, sóng đồn đoán lan khắp Internet rằng các chiến dịch gây ảnh hưởng của Nga và mạng botnet độc hại đã bị giáng một đòn chí mạng. Nhưng dữ liệu trên mạng lưới Cloudflare lại không ủng hộ giả thuyết đó.

Phân tích lưu lượng mạng xã hội cũng không tìm thấy thay đổi bất thường nào. Lưu lượng từ địa chỉ IP gốc Nga chỉ giảm 0,6% trong suốt giai đoạn sự cố, còn lưu lượng toàn cầu lại tăng 1,2%. Kiểm tra riêng các endpoint post, reply và like của một nền tảng mạng xã hội cụ thể cũng cho kết quả tương tự.

Dữ liệu từ Cloudflare cho thấy ba kết luận chính:

• Hoạt động thu thập dữ liệu tìm kiếm sụt giảm thực sự: Phần lớn lưu lượng biến mất khỏi ASN Yandex Search là các bot YandexBot đã được xác minh đang thu thập bài báo và tài nguyên web. Tác động chính là việc khám phá nội dung trên Yandex Search bị chậm lại.
• Tự động hóa độc hại chuyển hướng chứ không dừng lại: Các chiến dịch quy mô lớn nhanh chóng di chuyển sang mạng hosting thay thế chỉ trong vài giờ.
• Khối lượng lưu lượng theo ASN là thước đo không đáng tin cậy: Để hiểu hành vi bot, cần phân tích đặc điểm yêu cầu chứ không chỉ con số tổng.

Bài học cho doanh nghiệp Việt Nam

Sự cố này mang đến bài học quan trọng cho các tổ chức tại Việt Nam đang vận hành hạ tầng cloud và phòng thủ trước các mối đe dọa tự động hóa.

Việc một trung tâm dữ liệu ngừng hoạt động hoặc một dải IP bị chặn không đồng nghĩa với việc mối đe dọa tự động biến mất. Khối lượng công việc trên cloud rất dễ di chuyển, nên kẻ tấn công có thể chuyển script sang nhà cung cấp khác trong vài giờ.

Cách phòng thủ hiệu quả cần tập trung vào hành vi của yêu cầu thay vì nguồn gốc mạng:

• Nhận diện các dấu vân tay JA4 dùng chung giữa nhiều nhà cung cấp
• Giám sát tốc độ yêu cầu bất thường
• Áp dụng quy tắc WAF cho các endpoint nhạy cảm, bất kể yêu cầu đến từ mạng nào

Hạ tầng vật lý là tĩnh, nhưng tự động hóa độc hại được xây dựng để di chuyển.

Đối với các doanh nghiệp Việt Nam đang sử dụng dịch vụ cloud đa nhà cung cấp, đây là lời nhắc nhở rằng bảo mật dựa trên việc chặn theo địa chỉ IP hoặc ASN sẽ ngày càng kém hiệu quả. Các giải pháp bảo mật hiện đại cần phân tích hành vi và dấu vân tay của lưu lượng để có thể phát hiện mối đe dọa ngay cả khi chúng đã "đổi nhà".