Wenn Cyber‑Spione sich in der Cloud verstecken

Cyber‑Spionagekampagnen verstecken sich zunehmend in legitimer Cloud‑Infrastruktur. Eine kürzlich analysierte Angriffskampagne gegen mehrere Organisationen in Malaysia zeigt, wie Angreifer Malware‑Verteilung, Command‑and‑Control‑Kommunikation und Datendiebstahl in scheinbar normalen Cloud‑Traffic einbetten können – etwa über Dienste von Cloudflare.

Statt verdächtige Domains oder offensichtliche Malware‑Server zu betreiben, nutzten die Angreifer etablierte Cloud‑Plattformen und verschlüsselte HTTPS‑Verbindungen. Für Sicherheitsteams wird es dadurch deutlich schwieriger, Angriffe zu erkennen, weil klassisches Domain‑Blocking oder Reputationsfilter kaum noch greifen.

Die Kampagne in Malaysia: Maßgeschneiderte Tools und Cloud‑Infrastruktur

Sicherheitsforscher entdeckten eine gezielte Intrusionskampagne gegen mehrere malaysische Organisationen. Die Angreifer betrieben ihre Infrastruktur unter anderem auf Microsoft Azure in der Region Malaysia West und setzten speziell entwickelte Python‑Tools ein. Diese dienten zur Netzwerkaufklärung, zum Zugriff auf interne Datenbanken und zum Abtransport sensibler Daten.

Besonders auffällig war ein Skript, das gestohlene Daten auf einen Cloudflare‑basierten Speicher‑Endpunkt hochlud. Dadurch sah der Datenverkehr aus wie gewöhnliche HTTPS‑Kommunikation mit einem bekannten Cloud‑Dienst – und nicht wie ein Datendiebstahl.

Der beobachtete Angriffspfad umfasste unter anderem:

• interne Aufklärung und Zugriff auf Datenbanken
• Remote‑Aktivitäten über Windows Remote Management (WinRM)
• Erstellung und Vorbereitung von Archiven mit gestohlenen Dateien
• Artefakte von Credential‑Dumping auf Windows‑Systemen
• externe Befehlsausführung über HTTPS‑Endpunkte

Indem Angreifer Cloud‑Services für die finale Phase – die Datenexfiltration – nutzen, umgehen sie viele Perimeter‑Kontrollen, die sonst unbekannte oder verdächtige Server blockieren würden.

Warum Cloudflare für Angreifer attraktiv ist

Cloudflare betreibt eine globale Plattform mit Funktionen wie Objektspeicher, serverlosen Anwendungen, Website‑Hosting und sicheren Tunneln. Genau diese Flexibilität macht die Plattform auch für Angreifer interessant.

Sicherheitsanalysen zeigen, dass mehrere Cloudflare‑Dienste immer wieder in Angriffskampagnen auftauchen, weil ihr Datenverkehr kaum von legitimer Nutzung zu unterscheiden ist.

R2 Storage: Versteckte Datenexfiltration

Cloudflare R2 ist ein Objektspeicher‑Dienst ähnlich wie Amazon S3. Angreifer können ihn nutzen, um:

• gestohlene Archive aus kompromittierten Netzwerken hochzuladen
• Malware‑Dateien zu speichern
• Dateien hinter vertrauenswürdigen Cloudflare‑Domains zu verteilen

Im malaysischen Fall beobachteten Forscher ein Skript, das speziell dafür geschrieben wurde, exfiltrierte Daten in Cloudflare‑Speicher hochzuladen.

Cloudflare Pages: Infrastruktur für Phishing

Cloudflare Pages ermöglicht das schnelle Hosting statischer Websites. Angreifer können darüber Phishing‑Seiten oder scheinbar legitime Download‑Portale erstellen und gleichzeitig von der Reputation der Cloudflare‑Netzwerke profitieren.

Cloudflare Workers: Edge‑basierte Command‑Relays

Workers führen serverlosen Code direkt am Edge‑Netzwerk von Cloudflare aus. Diese Funktion lässt sich missbrauchen, um:

• Opfer auf Phishing‑Seiten umzuleiten
• Command‑and‑Control‑Traffic weiterzuleiten
• Kommunikationswege dynamisch zu verschleiern

Forscher dokumentierten bereits Fälle, in denen Remote‑Access‑Trojaner ihre Steuerungsinfrastruktur vollständig über Cloudflare‑Workers‑Konten betrieben.

Cloudflare Tunnels: Versteckte Ursprungsserver

Cloudflare Tunnel erlaubt es, interne Server öffentlich erreichbar zu machen, ohne deren echte IP‑Adresse preiszugeben. Für Angreifer bedeutet das: Sie können ihre Infrastruktur hinter Cloudflare verstecken und trotzdem Malware oder Nutzdaten ausliefern.

Bereits frühere Malwarekampagnen nutzten Cloudflare‑Tunnel‑Subdomains, um Schadsoftware über Phishing‑E-Mails und automatisierte Infektionsketten zu verbreiten.

Teil eines größeren Trends in Südostasien

Der Vorfall in Malaysia passt in ein breiteres regionales Muster. Spionagegruppen, die in Südostasien aktiv sind, greifen immer häufiger auf legitime Cloud‑Plattformen zurück, um ihre Operationen zu tarnen.

Malaysia gilt dabei als besonders attraktives Ziel. Der rasante Ausbau digitaler Infrastruktur – etwa in Telekommunikation, Transport und Energie – vergrößert die Angriffsfläche und erhöht den strategischen Wert des Landes für Geheimdienst‑ähnliche Datensammlung.

Mehrere bekannte Advanced‑Persistent‑Threat‑Gruppen verfolgen ähnliche Taktiken.

Mustang Panda

Mustang Panda ist ein China‑basierter Cyber‑Spionageakteur, der seit mindestens 2012 aktiv ist und häufig Regierungs‑ oder Diplomatie‑Organisationen mit Phishing‑Kampagnen und maßgeschneiderter Malware angreift.

APT41

APT41 wird von vielen Sicherheitsforschern als staatlich unterstützte chinesische Gruppe eingeschätzt. Sie führt Spionagekampagnen in verschiedenen Branchen weltweit durch und nutzt eine breite Palette eigener Tools und Malware.

Amaranth‑Dragon

Neuere Kampagnen in Südostasien werden einer Gruppe namens Amaranth‑Dragon zugeschrieben, die laut Forschern eng mit dem APT41‑Ökosystem verbunden ist und Behörden sowie Strafverfolgungsorganisationen in ASEAN‑Staaten ins Visier nimmt.

Die Cloudflare‑bezogene Aktivität in Malaysia wurde bislang keiner dieser Gruppen eindeutig zugeordnet. Dennoch entsprechen Vorgehensweise und Infrastruktur klar den typischen Methoden staatlich unterstützter Spionageakteure: maßgeschneiderte Tools, gezielte regionale Ziele und besonders unauffällige Infrastruktur.

Warum diese Angriffe schwer zu erkennen sind

Das größte Problem für Verteidiger: Der Netzwerkverkehr wirkt oft völlig legitim.

Eine Verbindung zu Cloudflare‑Speicher oder einem serverlosen Endpunkt sieht im Netzwerk praktisch genauso aus wie normale verschlüsselte Webkommunikation. Gleichzeitig können Organisationen Cloudflare nicht einfach komplett blockieren, weil viele legitime Dienste darauf angewiesen sind.

Deshalb verschiebt sich die Verteidigung zunehmend von Domain‑Reputation hin zu Verhaltensanalyse.

Warnsignale können zum Beispiel sein:

• unerwartete Uploads zu Cloudflare‑Speicherendpunkten
• neue oder zuvor unbekannte Cloudflare‑Subdomains im Netzwerkverkehr
• große HTTPS‑POST‑Requests nach der Erstellung von Archivdateien
• Systeme, die normalerweise keinen Internetzugriff benötigen, kommunizieren plötzlich mit Cloud‑Hosting‑Diensten
• Cloud‑Traffic, der zeitlich mit Credential‑Dumping, Datenbankzugriff oder administrativen Remote‑Sessions zusammenfällt

Die größere Sicherheitslektion

Die Kampagne in Malaysia verdeutlicht eine grundlegende Veränderung in der Infrastrukturstrategie von Angreifern. Statt auffälliger, eigener Server betreiben sie ihre Operationen zunehmend innerhalb vertrauenswürdiger Cloud‑Ökosysteme.

Für Sicherheitsverantwortliche bedeutet das: Klassische Allow‑Lists oder Domain‑Filter reichen nicht mehr aus. Entscheidend wird die Analyse von Identitäten, Nutzungsverhalten und Datenbewegungen innerhalb von Cloud‑Diensten.

Wenn sich Angreifer in weltweit vertrauenswürdigen Plattformen verstecken, entscheidet nicht mehr nur das Ziel einer Verbindung darüber, ob sie gefährlich ist – sondern vor allem ihr Verhalten.