Quand les cyberespions se cachent dans le cloud : l’abus des services Cloudflare

Les campagnes modernes de cyber‑espionnage ne se cachent plus uniquement sur des serveurs obscurs. De plus en plus, elles utilisent les mêmes plateformes cloud que les entreprises du monde entier.

Des recherches récentes sur des intrusions ciblant des organisations en Malaisie montrent comment des attaquants exploitent les services Cloudflare — notamment R2, Workers, Pages et Tunnels — pour héberger du phishing, distribuer des logiciels malveillants et exfiltrer des données tout en se fondant dans le trafic web légitime.

Pour les équipes de sécurité, le problème est évident : bloquer massivement un fournisseur cloud majeur comme Cloudflare ou Microsoft Azure peut interrompre des services métiers essentiels.

Une campagne d’intrusion ciblant la Malaisie

Des chercheurs ont identifié une campagne d’attaque visant plusieurs organisations malaisiennes. L’infrastructure contrôlée par les attaquants était hébergée sur Microsoft Azure dans la région “Malaysia West”, ce qui suggère une opération soigneusement planifiée.

Les analystes ont découvert un ensemble d’outils personnalisés, notamment :

• des scripts Python dédiés à la reconnaissance réseau interne
• des outils d’accès à bases de données
• des mécanismes d’exfiltration de fichiers vers des serveurs externes

Chaque cible semblait disposer de scripts adaptés à son environnement, un signe classique d’opérations d’espionnage prolongées plutôt que d’attaques opportunistes.

Selon les analyses, certaines étapes de l’infrastructure d’attaque utilisaient des services cloud légitimes — dont ceux de Cloudflare — pour masquer les communications malveillantes dans un trafic web normal.

Comment les services Cloudflare peuvent être détournés

Les outils proposés par Cloudflare sont conçus pour les développeurs et les entreprises. Mais ces mêmes fonctionnalités peuvent aussi être exploitées pour construire des infrastructures d’attaque discrètes.

R2 : stockage pour phishing et malware

Cloudflare R2 est un service de stockage d’objets utilisé pour héberger des fichiers ou des sites statiques.

Des attaquants l’utilisent pour :

• héberger des pages de phishing imitant des portails Microsoft ou des services cloud
• stocker des archives malveillantes ou des chargeurs de malware
• servir de dépôt temporaire pour les charges utiles (payloads)

Les téléchargements provenant d’un domaine cloud reconnu paraissent souvent légitimes aux systèmes de sécurité.

Les chercheurs ont d’ailleurs observé une multiplication par 61 du trafic vers des pages de phishing hébergées sur Cloudflare R2 en six mois, signe d’une adoption rapide par les cybercriminels.

Cloudflare Pages : faux sites crédibles

Cloudflare Pages permet d’héberger facilement des sites web statiques sur une infrastructure mondiale.

Les attaquants peuvent y déployer des portails de connexion frauduleux qui ressemblent à des services authentiques. Comme le site est servi via le réseau Cloudflare, les victimes voient une infrastructure réputée plutôt qu’un domaine suspect.

Workers : un command‑and‑control sans serveur

Les Cloudflare Workers permettent d’exécuter du code JavaScript directement à la périphérie du réseau Cloudflare.

Dans les campagnes malveillantes, cette fonctionnalité peut servir à créer :

• des redirections vers des pages de phishing
• des proxys inverses interceptant les identifiants
• des services légers de command‑and‑control (C2)

Certaines campagnes utilisent même une technique appelée phishing transparent, où un Worker agit comme un proxy vers une véritable page de connexion tout en capturant discrètement les identifiants saisis.

Cloudflare Tunnels : infrastructure cachée

Cloudflare Tunnel permet d’exposer un service interne via le réseau Cloudflare sans révéler l’adresse IP réelle du serveur.

Des acteurs malveillants l’utilisent pour :

• distribuer des malwares via des liens dans des emails de phishing
• héberger des charges malveillantes derrière des sous‑domaines Cloudflare
• cacher des serveurs C2 aux scans internet

Des rapports de sécurité ont documenté des campagnes distribuant des RAT (Remote Access Trojans) via des infrastructures basées sur Cloudflare Tunnel.

Pourquoi ces attaques sont difficiles à détecter

Les infrastructures cloud offrent plusieurs avantages stratégiques aux cyberespions.

D’abord, le trafic vers des services comme Cloudflare ou Azure ressemble à du trafic SaaS normal. Les solutions de sécurité ont donc du mal à distinguer activité légitime et communication malveillante sans générer de faux positifs massifs.

Ensuite, les services serverless permettent aux attaquants de modifier rapidement leur infrastructure : changer les redirections, déplacer les payloads ou remplacer un serveur compromis peut se faire en quelques minutes.

Enfin, les opérations peuvent être réparties entre plusieurs fournisseurs cloud, compliquant l’attribution et les investigations forensiques.

Des groupes suspects… mais aucune attribution définitive

Les analyses publiques décrivent une activité compatible avec des techniques d’espionnage étatique, mais aucune attribution formelle n’a été confirmée.

Certains analystes évoquent des similitudes avec APT41, un groupe lié à la Chine actif depuis au moins 2012 et connu pour cibler les secteurs technologiques, télécoms et de la santé dans de nombreux pays.

APT41 a déjà utilisé des infrastructures cloud et des réseaux de diffusion de contenu pour masquer ses opérations ou ses serveurs de commandement.

Cependant, les rapports disponibles précisent qu’il n’existe pas encore de preuve reliant directement cette campagne malaisienne à APT41, Mustang Panda ou Amaranth‑Dragon.

Pourquoi la Malaisie attire les cyberespions

La Malaisie devient une cible stratégique en raison de l’essor rapide de son économie numérique.

Le pays investit massivement dans les technologies émergentes — intelligence artificielle, centres de données, cloud computing et big data. Les investissements numériques ont atteint 163,6 milliards de ringgits en 2024, suivis de 87,4 milliards en 2025.

Cette croissance attire naturellement l’intérêt des groupes d’espionnage, qui peuvent chercher à accéder à :

• des identités cloud et comptes d’entreprise
• de la propriété intellectuelle et du code logiciel
• des infrastructures de centres de données
• des systèmes numériques liés au gouvernement

Pour un acteur étatique, infiltrer ces secteurs peut fournir des renseignements économiques et stratégiques précieux.

Une évolution plus large des infrastructures d’attaque

L’affaire malaisienne illustre une tendance croissante dans les cyber‑opérations : les attaquants abandonnent progressivement les serveurs clairement malveillants au profit d’infrastructures cloud légitimes.

En intégrant leurs opérations dans des plateformes fiables — stockage d’objets, services serverless ou réseaux CDN — ils bénéficient de plusieurs avantages :

• la réputation de fournisseurs cloud reconnus
• du trafic chiffré ressemblant à une activité web normale
• une infrastructure facilement remplaçable et évolutive

Pour les défenseurs, cela signifie que la simple réputation d’un domaine ou d’un fournisseur cloud ne suffit plus. La détection repose désormais davantage sur l’analyse comportementale, l’observation d’usages anormaux des services cloud et la surveillance des flux sortants de données.

À mesure que les plateformes cloud deviennent plus puissantes, elles deviennent aussi — involontairement — une partie de l’infrastructure utilisée dans les opérations modernes de cyber‑espionnage.