By ITCuli

Yandex outage data: malicious bots may persist after user traffic drops

Yandex outage: Data shows that instead of going dark, malicious bots went on the move

Sự cố Yandex không làm bot độc hại biến mất: chúng đổi hạ tầng

English summary: Cloudflare’s October 2026 analysis shows that the Yandex disruption sharply reduced crawler and cloud traffic, but high-volume malicious automation moved to other Russian hosting networks rather than disappearing.

Cloudflare analysis of the Yandex outage

Các vụ tấn công bằng drone được báo cáo tại ba cơ sở Yandex ở Nga, diễn ra từ ngày 7 đến 11/10/2026, đã dẫn tới một diễn giải rất dễ mắc phải: lưu lượng giảm mạnh đồng nghĩa bot farm hoặc hoạt động gây ảnh hưởng đã bị triệt tiêu. Báo cáo mới của Cloudflare đưa ra bức tranh cụ thể hơn. Dữ liệu Radar và Bot Management cho thấy phải tách hai ASN của Yandex trước khi kết luận: AS13238 phục vụ Yandex Search, còn AS200350 là Yandex.Cloud.

Ngày 11/10, lưu lượng Yandex Search giảm tới 99% dưới mức nền, còn Yandex.Cloud giảm 90%. Đến ngày 14/10 lúc 18:00 UTC, lưu lượng vẫn chỉ khoảng 85% mức bình thường. Tuy vậy, “traffic down” chỉ cho biết một mạng bị gián đoạn; nó không xác nhận nhóm vận hành bot, mã nguồn hay mục tiêu tấn công đã biến mất.

Yandex network traffic during outage

Hai ASN, hai câu chuyện vận hành

AS13238 chủ yếu là crawler hợp lệ. Cloudflare chấm 99,5% request từ ASN này là tự động, và 93,6% số bot request được xác thực. Trong mẫu quan sát, YandexBot chiếm 78,1%, YandexRenderResourcesBot 11,5%, YandexImages 1,9%. Vì vậy, hệ quả rõ rệt nhất của sự cố với website là giảm index trên Yandex, không phải giảm mối đe dọa. Nhóm Publishing và Newspapers giảm 44% traffic Yandex; khoảng 90% traffic trước sự cố tới các trang tin là YandexBot, trong khi 40,5% khách hàng Cloudflare trả HTTP 403 cho crawler này.

For English-speaking administrators: AS13238’s collapse mostly means less Yandex indexing and asset rendering. Treat SEO visibility as the primary operational impact, not proof of a botnet takedown.

AS200350 có đặc tính khác. Khoảng 95% request được chấm điểm là bot, nhưng không request bot nào được Cloudflare xác minh. Nhiều request tự nhận là chương trình JavaScript, Python hoặc Go; gần hai phần ba gửi dữ liệu vào website. Trong giai đoạn sự cố, bot traffic từ Yandex.Cloud giảm khoảng 40%, plugin probing WordPress giảm 90% và scanner-identified requests giảm 93%. Tỷ lệ request bị khách hàng chặn cũng giảm 70%.

Cloudflare chart comparing Yandex automated traffic

Bằng chứng bot chuyển chỗ thay vì dừng

Điểm quan trọng nằm ở tài khoản khách hàng thuộc nhóm gambling. Ngay sau gián đoạn ngày 8/10, request từ Yandex.Cloud tới tài khoản này giảm về zero. Đồng thời, các request giống hệt xuất hiện từ Radist và Selectel. Cloudflare đối chiếu được cùng JA4 TLS client fingerprint, cùng request path và HTTP header hiếm, cùng custom User-Agent. Tổng bot traffic từ Nga nhắm vào các tài khoản gambling vẫn gần như phẳng: 167,7 triệu request lên 170,1 triệu, tăng 1,4% trong tuần.

The practical lesson is portability. Blocking or losing one cloud ASN can interrupt a workload, but operators can redeploy scripts and credentials to another provider within hours. Detection must follow behavior, not only origin ASN.

Checklist cho quản trị viên website và WordPress

  • Kiểm tra log theo JA4/TLS fingerprint, URI, header và User-Agent; không chỉ lọc theo ASN hay geolocation.
  • Đặt rate limit, WAF rule và challenge cho wp-login.php, XML-RPC, REST endpoint nhạy cảm và URL plugin thường bị dò quét.
  • So sánh request volume trÆ°á»›c/sau má»™t outage vá»›i tá»· lệ 4xx, response code và signature; má»™t mức giảm có thể chỉ là traffic đã di cÆ°.
  • Theo dõi index của Yandex nếu còn phục vụ thị trường này; dùng Search Console tÆ°Æ¡ng ứng và kiểm tra robots.txt/403 để phân biệt outage vá»›i lá»—i cấu hình.
  • Giữ plugin, theme và core WordPress được vá; sá»± sụt 90% probing không làm lá»— hổng cÅ© bá»›t nguy hiểm khi scan chuyển sang ASN khác.
  • LÆ°u baseline dashboard theo hành vi để phát hiện cùng chiến dịch tái xuất từ Radist, Selectel hoặc nhà cung cấp khác.

Kết luận

Báo cáo không khẳng định mọi hoạt động độc hại đều liên quan đến Yandex, cũng không thể kết luận tuyệt đối về các chiến dịch thao túng mạng xã hội ngoài phạm vi dữ liệu Cloudflare. Nó chỉ ra một kết luận vận hành chắc chắn: hạ tầng vật lý có thể ngừng hoạt động, nhưng automation có thể dịch chuyển nhanh. Với đội IT, chỉ số cần ưu tiên là hành vi request và dấu vết kỹ thuật, không phải một biểu đồ tổng traffic đơn lẻ.

Nguồn: Cloudflare Blog — Yandex outage: data shows that instead of going dark, malicious bots went on the move.