افت ۸۴ درصدی فعالیت بات‌های روسی پس از حمله به مراکز داده یاندکس؛ بازگشت کامل ظرف دو روز

• مرکز مقابله با اطلاعات گمراه‌کننده اوکراین (CCD) اعلام کرد پس از حمله و از مدار خارج شدن مرکز داده «ساسوو» متعلق به یاندکس، انتشار پست‌های بات‌های منتسب به روسیه در نمونه‌های آماری این مرکز در تاریخ ۸ اکتبر ۸۳٫۶ درصد کاهش یافت.
• همین آمارها نشان می‌دهند که حجم پیام‌ها تا ۱۰ اکتبر به سطحی فراتر از زمان پیش از حمله بازگشت و پس از ازکارافتادن مرکز داده ولادیمیر نیز افتی کوچک‌تر به میزان ۴۲٫۶ درصد ثبت شد.
• تحلیل‌های کلودفلر و مؤسسه گرافیکا هیچ افت مشابهی را در جوامع سیاسی غربی ثبت نکردند؛ هرچند فعالیت کانال‌های روسی‌زبان در تلگرام بین ۵ تا ۱۵ درصد افت داشت.

مرکز مقابله با اطلاعات گمراه‌کننده اوکراین (CCD) می‌گوید در پی حملات پهپادی اوایل ماه جاری میلادی به مراکز داده یاندکس، حساب‌های کاربری منتسب به بات‌های روسی تقریباً خاموش شدند و حجم انتشار پیام در یک شبکه رصدشده، ظرف تنها یک روز ۸۳٫۶ درصد سقوط کرد.

این یافته‌ها برگرفته از یک گزارش تحلیلی منتشرشده از سوی این مرکز در تاریخ ۱۵ اکتبر ۲۰۲۶ است. تحلیل‌گران این نهاد با استفاده از نرم‌افزار پایش اوساوول (Osavul)، در بازه زمانی ۶ تا ۱۲ اکتبر، ۲۲٬۶۶۴ پیام را از ۵٬۲۰۱ حساب کاربریِ دارای رفتارهای مشکوک و غیرواقعی در ۲۶ موضوع مختلف در فضای فیسبوک و تلگرام اوکراین رصد کردند.

اگرچه رقم ۸۳٫۶ درصد واقعی است، اما همان گزارش نشان می‌دهد این حساب‌ها ظرف ۴۸ ساعت حتی فعال‌تر از قبل به انتشار مطلب پرداختند. افزون بر این، داده‌های مستقل شرکت کلودفلر (Cloudflare) حکایت از آن دارد که بخش قابل‌توجهی از فرآیندهای خودکار مخربی که روی زیرساخت ابری یاندکس اجرا می‌شدند، از بین نرفته‌اند، بلکه صرفاً به سرورهای دیگری نقل مکان کرده‌اند.

سقوط ترافیک خودکار پس از وارد آمدن ضربه سنگین به فضای ابری یاندکس

نخستین افت چشمگیر در ۸ اکتبر و چند ساعت پس از آن رخ داد که حمله پهپادی و آتش‌سوزی ناشی از آن، مرکز داده ساسوو متعلق به یاندکس را از کار انداخت. این مرکز در استان ریازان واقع شده و دو دستگاه از سه ابررایانه این غول فناوری روسی در آن مستقر است.

تعداد پیام‌های روزانه از ۴٬۰۳۲ به ۶۶۰ پیام کاهش یافت و شمار حساب‌های فعال از ۱٬۵۲۶ به ۲۵۸ مورد سقوط کرد. در این میان تلگرام ضربه سخت‌تری خورد و با افت ۹۰ درصدی روبه‌رو شد، در حالی که فیسبوک ۷۹٫۵ درصد افت داشت. افت دوم با شدتی کمتر، پس از حمله ۱۱ اکتبر رخ داد؛ حمله‌ای که به گفته یاندکس، تأسیسات ولادیمیر را به‌طور کامل متوقف کرد و باعث شد پیام‌ها در ۱۲ اکتبر با کاهشی ۴۲٫۶ درصدی از ۴٬۷۱۱ به ۲٬۷۰۴ مورد برسد. یک زیرگروه شامل ۹۸ حساب کاربری که از سوی مرکز اوکراینی به دلیل توجیه تهاجم یا دامن زدن به نفرت نشانه‌گذاری شده بودند نیز الگوی مشابهی را طی کردند و با افت ۷۷٫۸ درصدی در ۸ اکتبر و ۴۹٫۲ درصدی در ۱۲ اکتبر مواجه شدند.

گویاترین نکته در این میان، رویداد مابین این دو حمله است؛ حمله ۹ اکتبر به پردیس کلوگا (Kaluga) متعلق به یاندکس که این شرکت آن را بزرگ‌ترین مرکز خود می‌داند، تنها بخش‌هایی از سایت را از مدار خارج کرد و مرکز اوکراینی هیچ افتی را در فعالیت بات‌ها در آن روز ثبت نکرد. بنابراین، این دو موج ریزش ترافیک دقیقاً با دو مورد خاموشی کامل هم‌پوشانی دارند؛ موضوعی که در صورت وابستگی این حساب‌ها به زیرساخت‌های یادشده کاملاً قابل انتظار بود، هرچند این مسئله به‌تنهایی اثبات‌کننده ادعای مذکور نیست.

احیای غیرمنتظره و بسیار سریع بات‌ها

آنچه آمار ۸۴ درصدی تبلیغ‌شده از سوی مرکز اوکراین ناگفته می‌گذارد، کوتاهی چشمگیر دوران این خاموشی است. حجم پیام‌ها در ۹ اکتبر به ۲٬۲۳۱ مورد بازگشت، سپس در ۱۰ اکتبر به ۴٬۵۸۵ و در ۱۱ اکتبر به ۴٬۷۱۱ پیام رسید که هر دو رقم، بالاتر از سطح فعالیت پیش از آغاز حملات بودند. بازه رصد ارائه‌شده در این گزارش در ۱۲ اکتبر به پایان می‌رسد؛ بنابراین مشخص نیست که آیا موج دوم افت ترافیک نیز به همین شکل و سرعت جبران شده است یا خیر.

این نهاد اوکراینی در سایر اظهارنظرها اثر این حادثه را کم‌رنگ‌تر جلوه داده است؛ دو روز پیش از انتشار این گزارش، مرکز CCD اعلام کرده بود که ارسال پیام در برخی از خوشه‌های شبکه‌های «پراودا» (Pravda)، «اینفودیفنس» (InfoDefense) و «ند آو تایم» (Nod of Time) برای حدود ۱۲ ساعت تقریباً به نصف کاهش یافته است و تأکید کرد که کاهش چشمگیر و پایداری در مجموع مزارع بات روسی مشاهده نشده است.

در ۱۶ اکتبر نیز خلاصه اظهارات ایوان اسلیچکو، مدیر سواد رسانه‌ای این مرکز، این اثر را «اختلال در سامانه‌های خودکار، و نه ناپدید شدن کامل بات‌ها» توصیف کرد.

همچنین در این گزارش هیچ مقایسه‌ای با رفتار حساب‌های کاربری عادی صورت نگرفته است. در بعدازظهر ۸ اکتبر، بانک‌ها، خرده‌فروشی‌ها، اپراتورهای تلفن همراه و پایگاه‌های خبری در سراسر روسیه با قطعی گسترده روبه‌رو شدند. بدون بررسی چنین داده‌هایی، تمایز قائل شدن میان قطع سرورهای مزارع بات و از دست رفتن موقت اتصال اینترنت گردانندگان آن‌ها در داخل روسیه بسیار دشوار است.

مرکز CCD را به‌سختی می‌توان یک بازیگر بی‌طرف در این ماجرا قلمداد کرد؛ این مرکز وابسته به شورای امنیت ملی و دفاع اوکراین است و انگیزه آشکاری برای بزرگ‌نمایی موفقیت‌ها دارد، حتی زمانی که داده‌های آماری همواره ادعاهای مطرح‌شده را پشتیبانی نمی‌کنند.

ولودیمیر زلنسکی، رئیس‌جمهور اوکراین، پیش از ارائه شواهد کافی شتاب‌زده عمل کرده بود و در سخنرانی خود در مجمع امنیتی ورشو گفت پس از این حملات «ناگهان تنفس در بسیاری از شبکه‌های اجتماعی کمی آسان‌تر شد»؛ اظهارنظری که احتمالاً عاملی تعیین‌کننده در جهت‌گیری روایت مرکز CCD بوده است.

فراتر از مرزهای اوکراین، ادعای «خاموشی کامل بات‌ها» عمدتاً بر پایه‌ی نمودار رادار کلودفلر شکل گرفت که نشان می‌داد ترافیک خودکار شبکه AS13238 یاندکس در ۱۱ اکتبر به کمتر از ۱ درصد اوج اخیر خود سقوط کرده است. با این حال همان‌طور که کارشناسان فنی پیش‌تر اشاره کرده بودند، آن ترافیک بیش از آنکه به حساب‌های جعلی شبکه‌های اجتماعی مربوط باشد، احتمالاً ناشی از خزنده‌های وب بود؛ چراکه اصطلاح «بات» مفهوم بسیار گسترده‌ای است و درخواست‌های خودکار حدود نیمی از کل ترافیک وب جهان را تشکیل می‌دهند.

گزارش کالبدشکافی خود کلودفلر نیز بر این واقعیت صحه می‌گذارد. تحلیل‌گران این شرکت دریافتند که ۹۹٫۵ درصد از درخواست‌های شبکه AS13238 خودکار بوده و بخش عمده آن‌ها به خزنده‌های رسمی جستجوی یاندکس تعلق داشته است؛ در حالی که این شبکه تنها حدود ۷ درصد از کل درخواست‌های بات با مبدأ روسیه را تأمین می‌کرد. علاوه بر این، ترافیک بات‌های متصل به آدرس‌های آی‌پی روسیه که نقاط پایانی مربوط به ارسال پست، پاسخ و لایک را در یکی از شبکه‌های اجتماعی هدف قرار می‌دادند، در طول این بازه زمانی تنها ۵٫۷ درصد افت کرد.

مؤسسه گرافیکا (Graphika) نیز از زاویه‌ای دیگر به نتیجه‌ای مشابه دست یافت. در تحلیل جان کلی، بنیان‌گذار این شرکت، پیرامون گروه‌های هوادار احزاب AfD، ماگا (MAGA) و حزب «ریفورم یوکی» (Reform UK) ــ که پست‌های پربازدید مدعی خاموشی آن‌ها بودند ــ مشخص شد هیچ‌یک از این جوامع، حساب‌های کاربری فعال یا پرکارترین مروجان خود را از دست نداده‌اند.

حساب‌های مرتبط با حزب AfD در ۱۱ اکتبر ۴۰٬۳۶۵ پست منتشر کردند که تنها ۴ درصد کمتر از هفته پیشین بود و کاملاً در دامنه نوسانات طبیعی قرار داشت؛ در همین حال، ارجاعات به MAGA در پلتفرم ایکس ظرف هشت ساعت پس از حمله به مرکز ولادیمیر، ۲۵ درصد افزایش یافت. رنه دیرستا، از پژوهشگران دانشگاه جورج‌تاون، در یادداشتی برای نشریه لاوفر (Lawfare) با صراحت درباره این موج شایعات نوشت: «این یک داستان هیجان‌انگیز است، اما بیشتر شبیه به رویاپردازی و افسانه است تا یک واقعیت میدانی.»

در حال حاضر، منطقی‌ترین تفسیر از ارقام ارائه‌شده از سوی مرکز اوکراین بسیار محدودتر از تیترهای جنجالی رسانه‌ها است. حمله دقیق به مرکز داده هدف می‌تواند خروجی حساب‌های مستقر در روسیه علیه اوکراین را به‌طور موقت کاهش دهد؛ اما خاموش نگه داشتن پایدار آن‌ها نیازمند ضربه زدن به سرورهایی است که به آن‌ها مهاجرت می‌کنند؛ روندی که طبق شواهد موجود، بیش از یک یا دو روز زمان نمی‌برد.

همان‌طور که در یکی از تحلیل‌های برجسته حوزه محاسبات و جنگ الکترونیک آمده است، تاب‌آوری از طراحی سیستم‌ها بر مبنای «فرض قطعی ارتباط» حاصل می‌شود؛ به نظر می‌رسد گردانندگان بات‌ها این درس را بسیار سریع‌تر از شرکت یاندکس آموخته‌اند.

منبع: یونایتد ۲۴ مدیا