Cloudflare "Yandex 공격으로 봇 멈추지 않았다, Radist 등으로 이전"

인프라 피해와 악성 활동의 분리

10월 7일부터 11일까지 Yandex 데이터 센터에 대한 드론 공격이 보고된 이후, 러시아 봇 팜이 오프라인 상태가 되었다는 추측이 제기되었다. 그러나 Cloudflare Radar 및 Bot Management 데이터에 따르면 네트워크 용량은 붕괴되었지만 악성 자동화는 사라지지 않았다. 대신 대량의 악성 트래픽은 다른 호스팅 제공업체로 이전되었으며, 관측된 주요 영향은 합법적인 검색 색인 감소였다.

Yandex ASN별 상이한 영향

공격은 두 개의 서로 다른 자율 시스템 번호(ASN)에 다른 방식으로 영향을 미쳤다.

• Yandex Search (AS13238): 트래픽이 기준선 대비 99% 감소했다. 이 감소는 거의 전적으로 검증된 검색 크롤러(YandexBot, YandexRenderResourcesBot, YandexImages)의 활동 중단 때문이었다. 주요 결과는 웹사이트 콘텐츠 발견 및 색인 감소였으며, 특히 퍼블리싱 및 신문 부문은 Yandex 네트워크에서 유입되는 트래픽이 44% 감소했다.
• Yandex.Cloud (AS200350): 트래픽이 기준선 대비 90% 감소했다. 이 ASN은 서드파티 애플리케이션을 호스팅하며 합법적 및 악성 자동화가 혼합되어 있었다. 취약점 스캐닝과 플러그인 프로빙은 일시적으로 감소했으나, 핵심 악성 운영은 인프라를 이동하여 지속되었다.

악성 트래픽 이전 증거

Cloudflare 분석은 악성 행위자들이 운영을 중단하는 대신 워크로드를 재배치했음을 확인했다. 주요 증거는 다음과 같다.

• 동일한 지문: 도박 계정을 겨냥한 요청은 제공업체가 변경되었음에도 동일한 JA4 TLS 클라이언트 지문, 요청 경로, HTTP 헤더, User-Agent 문자열을 유지했다.
• 제공업체 변경: Yandex.Cloud가 사용 불가능해진 직후, 다른 러시아 호스팅 ASN, 특히 Radist와 Selectel에서 동일한 트래픽 패턴이 나타났다.
• 물량 안정성: 도박 계정을 노리는 러시아 봇 트래픽은 사실상 평탄한 상태를 유지했으며, 이벤트 기간 동안 1억 6,770만 건에서 1억 7,010만 건으로 (+1.4%) 이동했다.

ASN 기반 분석의 한계

이 데이터는 클라이언트 ASN 트래픽 양이 자동화 봇 행동을 해석하는 데 신뢰할 수 없는 지표임을 강조한다. 물리적 인프라는 정적이나 악성 자동화는 이동성이 있다. 효과적인 방어는 출발 네트워크에 의존하기보다 공유 지문이나 비정상적인 속도 등 요청 행동을 검사해야 한다. Cloudflare는 공격이 소셜 미디어 조작을 마비시켰다는 증거를 찾지 못했으며, 전 세계 및 러시아발 소셜 미디어 트래픽은 미미한 변동만 보였다.