Récemment, les utilisateurs des réseaux sociaux se sont emparés ont largement relayée que l’Ukraine aurait démantelé une opération massive de bots russes. Cependant, Cloudflare, qui surveille le trafic Internet, a constaté que, bien qu’il y ait eu une certaine interruption de l’activité des bots, leurs opérateurs ont pu rapidement migrer leurs systèmes vers d’autres fournisseurs de services cloud et poursuivre leurs opérations sans se laisser décourager. Une grande partie de la confusion provient du fait que les gens utilisent le terme « bot » pour désigner des types d’activité bien distincts. Ainsi, bien que certains commentateurs aient utilisé les données de Cloudflare pour affirmer que les attaques avaient eu un impact majeur sur les bots des réseaux sociaux, cela n’est pas tout à fait exact.Des drones ukrainiens ont frappé des centres de données appartenant au géant technologique russe Yandex au cours de la semaine dernière. À la suite de ces frappes, le président ukrainien Volodymyr Zelenskyy a affirmé qu’il y avait eu une chute soudaine de l’activité des bots russes et des campagnes de désinformation politique sur des plateformes telles que X. Les utilisateurs des réseaux sociaux se sont emparés de cette histoire — l’Ukraine aurait démantelé une opération massive de bots russes — et l’ont largement relayée.
Cependant, un nouveau rapport de Cloudflare, qui surveille le trafic Internet, brosse un tableau plus nuancé. Cloudflare a constaté que, bien qu’il y ait eu une certaine interruption de l’activité des bots, leurs opérateurs ont pu rapidement migrer leurs systèmes vers d’autres fournisseurs de services cloud et poursuivre leurs opérations sans se laisser décourager. De plus, Cloudflare n’a pas pu déterminer si cette perturbation de l’activité des bots avait eu un effet spécifique sur les campagnes menées sur les réseaux sociaux.
Une grande partie de la confusion provient du fait que les gens utilisent le terme « bot » pour désigner des types d’activité bien distincts. « Le “trafic de bots” fait référence aux requêtes automatisées adressées aux sites web du réseau de Cloudflare, telles que les robots d’indexation et les scripts, et non nécessairement à l’activité sur les plateformes de réseaux sociaux », a déclaré Lai Yi Ohlsen, responsable de Radar, un outil de surveillance de Cloudflare.
Ainsi, bien que certains commentateurs aient utilisé les données de Cloudflare pour affirmer que les attaques avaient eu un impact majeur sur les bots des réseaux sociaux, cela n’est pas tout à fait exact. Ohlsen a déclaré que « Radar n’a pas de visibilité sur le trafic HTTP atteignant un client spécifique, y compris X ou Reddit », et que « Radar n’a aucune visibilité sur l’endroit où sont hébergés les comptes publiant sur ces plateformes ».
En résumé, les données de Cloudflare ne permettent pas de corroborer les affirmations selon lesquelles les frappes auraient affecté les campagnes de désinformation sur les réseaux sociaux, mais l’entreprise n’a pas totalement écarté cette possibilité. « D’après notre évaluation, les données ne semblent pas étayer les affirmations selon lesquelles les frappes auraient paralysé la manipulation sur les réseaux sociaux ; toutefois, sans analyse plus approfondie à l’aide de données provenant d’autres sources que Cloudflare, nous ne pouvons pas affirmer de manière concluante qu’il n’y a aucun lien », a déclaré l’entreprise dans son rapport.
Pourtant, à la suite de ces frappes, des blogueurs pro-Kremlin et des analystes indépendants ont lancé des avertissements sans détour : l’économie numérique hypercentralisée de la Russie risque de s’effondrer. En effet, le conflit en cours avec l’Ukraine s’est transformé en une véritable guerre des centres de données. Le problème fondamental réside dans la conception structurelle de l’infrastructure Internet et cloud russe. Contrairement aux réseaux décentralisés, capables de rediriger le trafic et de maintenir leur fonctionnalité lorsque certaines parties du système sont compromises, un modèle centralisé concentre les risques. La situation actuelle met en évidence un décalage fondamental entre la stratégie numérique de la Russie et les réalités de la guerre hybride moderne.
Voici le rapport de Cloudflare :
Panne de Yandex : les données montrent que, loin de disparaître, les bots malveillants ont continué à agir
À la suite des attaques signalées contre les centres de données de Yandex, des rumeurs ont circulé sur Internet selon lesquelles des fermes de bots russes et des opérations d’influence auraient été mises hors ligne. Les graphiques du trafic HTTP ont montré des baisses brutales, alimentant les spéculations selon lesquelles les dommages subis par l’infrastructure auraient stoppé ces acteurs malveillants. Cependant, les indicateurs de trafic agrégés peuvent facilement induire en erreur. Deux numéros de système autonome (ASN) sont associés à Yandex : l’AS13238 est utilisé par le moteur de recherche de Yandex, tandis que l’AS200350 gère ses services cloud.
À l’aide des données de Cloudflare Radar et de Bot Management, nous avons analysé l’impact sur ces deux ASN. Si tous deux ont enregistré une baisse de trafic, l’impact s’est avéré différent.
- Yandex Search (AS13238) : la baisse de trafic concernait presque exclusivement des robots d’indexation vérifiés indexant des pages web, des images et des ressources de sites.
- Yandex.Cloud (AS200350) : on a observé une diminution des activités malveillantes telles que l’analyse de vulnérabilités et les tests d’intrusion, mais l’automatisation à haut débit n’a pas disparu — elle s’est simplement déplacée vers d’autres hébergeurs.
Même si le trafic malveillant peut provenir d’un fournisseur particulier, cela ne nous indique pas nécessairement qui en est responsable. Pour comprendre pourquoi les frappes n’ont eu qu’un effet durable limité sur le trafic malveillant, il faut analyser le comportement des requêtes, plutôt que de se contenter d’examiner les tendances générales du trafic.
Ce qui s’est passé : l’effet des frappes et la situation de référence avant l’événement
Entre le 7 et le 11 octobre, des frappes de drones ukrainiens signalées ont touché trois installations de Yandex en Russie, mettant progressivement hors ligne les centres de données et réduisant la capacité du réseau. Comme le montre Cloudflare Radar, cela a abouti à un effondrement quasi total du réseau Yandex le 11 octobre, lorsque le trafic a chuté de 99 % en dessous de la référence pour Yandex Search (AS13238) et de 90 % pour Yandex.Cloud (AS200350). Malgré une brève reprise partielle, les deux réseaux sont restés perturbés jusqu’au 13 octobre, s’établissant à un niveau inférieur de 86 à 90 % par rapport aux niveaux de référence normaux. (Au 14 octobre à 18 h 00 UTC, le trafic s’établissait à 85 % de son niveau normal.)
Une baisse du trafic HTTP global ne fait que confirmer que le réseau a subi une panne. Elle ne permet pas de déterminer si des bots malveillants ou furtifs ont été perturbés. En examinant le niveau de référence de l’automatisation avant l’événement, on constate qu’avant les attaques, les requêtes automatisées représentaient 36,1 % de l’ensemble du trafic HTTP observé à l’échelle mondiale sur le réseau de Cloudflare, et 35,8 % du trafic provenant d’adresses IP russes.
La panne a eu des effets différents sur l’activité automatisée des deux ASN concernés, car ceux-ci jouaient des rôles différents.
L’ASN de Yandex Search (AS13238) est utilisé pour l’exploration d’index de recherche. Cloudflare a classé 99,5 % de ses requêtes comme automatisées, et 93,6 % de ses requêtes de bots comme « vérifiées ». Notre analyse a montré que le trafic provenant de cet ASN indexait des pages, affichait des pages et affichait des images, ce qui correspond au comportement habituel d’un robot d’indexation. L’ASN de Yandex Search a généré environ 7 % des requêtes de robots provenant de Russie, et seulement 0,05 % du total mondial.
L’ASN de Yandex.Cloud (AS200350) est un réseau d’hébergement cloud et présente une composition très différente en matière d’automatisation. Environ 95,0 % de ses requêtes évaluées provenaient de bots, mais aucune des requêtes de bots observées n’a été vérifiée par Cloudflare. Les bots de Yandex.Cloud ressemblaient davantage à des applications logicielles : près des deux tiers de leurs requêtes envoyaient des données à des sites web, certaines s’identifiaient comme des programmes JavaScript, Python ou Go, et une part plus importante était destinée à des éditeurs de logiciels qu’aux bots de recherche de Yandex. L’ASN de Yandex.Cloud a généré environ 2 % des requêtes de bots provenant de Russie, et seulement 0,01 % du total mondial.
Impact de l’événement sur le trafic global des bots
Le « trafic de bots » désigne les requêtes automatisées adressées aux sites web du réseau de Cloudflare, telles que les robots d’indexation et les scripts, et non nécessairement l’activité sur les plateformes de réseaux sociaux. À mesure que les réseaux de Yandex perdaient de la capacité, leurs requêtes de bots ont également diminué. Cela était prévisible : la quasi-totalité du trafic provenant de Yandex Search et de Yandex.Cloud était automatisée. Bien que nous ayons constaté une baisse évidente du trafic total, nous n’avons trouvé aucun élément permettant d’établir un lien entre une perturbation mondiale du trafic malveillant et la baisse du trafic provenant de Yandex.
Les requêtes de bots provenant de Russie ont diminué à peu près proportionnellement au trafic Yandex qui a été interrompu, puisque la plupart des requêtes provenant de ces réseaux étaient automatisées.
Impact sur l'ASN de Yandex Search (AS13238) : baisse de l'exploration liée à la recherche
La baisse observée sur l'ASN de Yandex Search concernait presque exclusivement l'exploration liée à la recherche. L'analyse d'un échantillon de requêtes a montré que 78,1 % provenaient du YandexBot vérifié, 11,5 % du YandexRenderResourcesBot et 1,9 % de YandexImages.
Parmi les sites web et les services, le secteur d’activité qui a connu la baisse la plus forte est celui de l’édition et de la presse, où le trafic provenant des réseaux Yandex a chuté de 44 %. Environ 90 % du trafic vers les sites d’actualités provenant de cet ASN avant l’incident correspondait à l’indexation d’articles par YandexBot, 40,5 % des clients Cloudflare renvoyant des réponses HTTP 403 Forbidden car le propriétaire du site avait bloqué le robot d’indexation. Lorsque l’ASN de Yandex Search s’est déconnecté, les clients ont simplement constaté une diminution de l’indexation par Yandex.
Impact sur l’ASN Yandex.Cloud (AS200350) : utilisation légitime et migration du trafic malveillant
Yandex.Cloud a affiché un profil totalement différent. À la suite des attaques signalées, le trafic de bots provenant de Yandex.Cloud a chuté d’environ 40 %. Plusieurs catégories assimilables à des attaques ont enregistré des baisses particulièrement marquées. Par exemple, les tentatives de sondage via des plugins WordPress ont chuté de 90 % et les requêtes identifiées par des scanners ont chuté de 93 %. Il est intéressant (et révélateur) de noter que les blocages effectués par les clients de Cloudflare sur le trafic provenant de Yandex.Cloud ont également chuté de 70 % pendant la période concernée, ce qui suggère que, proportionnellement, moins de trafic malveillant atteignait même le WAF de Cloudflare depuis cet ASN.
Impact sur les secteurs d’activité
Le trafic de bots de Yandex.Cloud est également intéressant lorsqu’il est segmenté par secteurs d’activité les plus ciblés par les requêtes :
La majorité du trafic provenant de l’ASN de Yandex.Cloud se répartissait entre deux secteurs : les logiciels informatiques et les jeux d’argent. Le secteur des logiciels informatiques était prévisible pour un ASN destiné à héberger des applications tierces et des intégrations logicielles. En effet, nous avons même constaté que api.cloudflare.com figurait parmi les noms d’hôtes les plus ciblés par le trafic de requêtes de Yandex.Cloud. La grande majorité de ce trafic aboutissait (les requêtes renvoyaient des codes 200) tant avant que pendant l’incident, ce qui indique une utilisation légitime.
Le secteur des jeux d’argent offre la preuve la plus évidente que l’automatisation malveillante s’est simplement déplacée plutôt que d’avoir disparu. La quasi-totalité des requêtes de bots de Yandex.Cloud ciblaient un seul compte client de jeux d’argent, le trafic se répartissant entre ses différents noms d’hôte. Immédiatement après la perturbation du 8 octobre, les requêtes de bots provenant de Yandex.Cloud vers ce compte sont tombées à zéro. Simultanément, des requêtes identiques ont commencé à apparaître depuis d’autres ASN d’hébergement russes, notamment Radist et Selectel. Le trafic entrant présentait une empreinte identique chez tous les fournisseurs :
- La même empreinte client TLS JA4
- Les mêmes chemins de requête et en-têtes HTTP inhabituels
- Les mêmes chaînes User-Agent personnalisées
Dans l’ensemble, le trafic de bots russes ciblant les comptes de jeux d’argent est resté pratiquement stable au cours de la semaine, passant de 167,7 millions à 170,1 millions de requêtes (+1,4 %). L’automatisation n’a jamais cessé de fonctionner ; les opérateurs ont simplement migré leurs charges de travail vers d’autres fournisseurs de cloud dès que Yandex.Cloud est devenu...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.