Quand les cyberespions se cachent dans le cloud : l’abus des services Cloudflare
Des chercheurs ont identifié des campagnes d’espionnage ciblant des organisations malaisiennes qui exploitent les services Cloudflare (R2, Workers, Pages et Tunnels) pour héberger phishing, malware et infrastructures C2. Les attaquants utilisent ces plateformes cloud légitimes pour masquer le trafic malveillant dans...
Publié parModifié avec GPT-5.5Images générées avec GPT Image 2
Des chercheurs ont identifié des campagnes d’espionnage ciblant des organisations malaisiennes qui exploitent les services Cloudflare (R2, Workers, Pages et Tunnels) pour héberger phishing, malware et infrastructures C2.
Les attaquants utilisent ces plateformes cloud légitimes pour masquer le trafic malveillant dans un flux web normal, rendant la détection plus difficile pour les équipes de sécurité.
Cette campagne illustre une tendance croissante : les acteurs étatiques s’appuient de plus en plus sur des infrastructures cloud fiables pour dissimuler leurs opérations.
How are government-backed hackers exploiting Cloudflare’s services (such as R2 storage, Pages, Workers, and Tunnels) to conduct cyber‑espionAttackers increasingly hide phishing, malware delivery, and command‑and‑control infrastructure inside trusted cloud platforms.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: How are government-backed hackers exploiting Cloudflare’s services (such as R2 storage, Pages, Workers, and Tunnels) to conduct cyber‑espion. Article summary: Government-backed or government-aligned hackers are abusing Cloudflare because its services provide cheap, reputable, TLS-protected infrastructure that often looks like normal business web traffic. In the Malaysia-focuse. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# Russian state hackers abuse Cloudflare services to spy on Ukrainian targets. A Russian state-sponsored hacker group, known as Gamaredon, has been targeting Ukrainian-speaking vic" source context "Russian state hackers abuse Cloudflare services to spy on ..." Reference image 2: visual subject "**Help
openai.com
Les campagnes modernes de cyber‑espionnage ne se cachent plus uniquement sur des serveurs obscurs. De plus en plus, elles utilisent les mêmes plateformes cloud que les entreprises du monde entier.
Des recherches récentes sur des intrusions ciblant des organisations en Malaisie montrent comment des attaquants exploitent les services Cloudflare — notamment R2, Workers, Pages et Tunnels — pour héberger du phishing, distribuer des logiciels malveillants et exfiltrer des données tout en se fondant dans le trafic web légitime.
Pour les équipes de sécurité, le problème est évident : bloquer massivement un fournisseur cloud majeur comme Cloudflare ou Microsoft Azure peut interrompre des services métiers essentiels.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « Quand les cyberespions se cachent dans le cloud : l’abus des services Cloudflare » ?
Des chercheurs ont identifié des campagnes d’espionnage ciblant des organisations malaisiennes qui exploitent les services Cloudflare (R2, Workers, Pages et Tunnels) pour héberger phishing, malware et infrastructures C2.
Quels sont les points clés à valider en premier ?
Des chercheurs ont identifié des campagnes d’espionnage ciblant des organisations malaisiennes qui exploitent les services Cloudflare (R2, Workers, Pages et Tunnels) pour héberger phishing, malware et infrastructures C2. Les attaquants utilisent ces plateformes cloud légitimes pour masquer le trafic malveillant dans un flux web normal, rendant la détection plus difficile pour les équipes de sécurité.
Que dois-je faire ensuite en pratique ?
Cette campagne illustre une tendance croissante : les acteurs étatiques s’appuient de plus en plus sur des infrastructures cloud fiables pour dissimuler leurs opérations.
Quand les cyberespions se cachent dans le cloud : l’abus des services Cloudflare
Des chercheurs ont identifié des campagnes d’espionnage ciblant des organisations malaisiennes qui exploitent les services Cloudflare (R2, Workers, Pages et Tunnels) pour héberger phishing, malware et infrastructures C2. Les attaquants utilisent ces plateformes cloud légitimes pour masquer le trafic malveillant dans...
Publié parModifié avec GPT-5.5Images générées avec GPT Image 2
Des chercheurs ont identifié des campagnes d’espionnage ciblant des organisations malaisiennes qui exploitent les services Cloudflare (R2, Workers, Pages et Tunnels) pour héberger phishing, malware et infrastructures C2.
Les attaquants utilisent ces plateformes cloud légitimes pour masquer le trafic malveillant dans un flux web normal, rendant la détection plus difficile pour les équipes de sécurité.
Cette campagne illustre une tendance croissante : les acteurs étatiques s’appuient de plus en plus sur des infrastructures cloud fiables pour dissimuler leurs opérations.
How are government-backed hackers exploiting Cloudflare’s services (such as R2 storage, Pages, Workers, and Tunnels) to conduct cyber‑espionAttackers increasingly hide phishing, malware delivery, and command‑and‑control infrastructure inside trusted cloud platforms.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: How are government-backed hackers exploiting Cloudflare’s services (such as R2 storage, Pages, Workers, and Tunnels) to conduct cyber‑espion. Article summary: Government-backed or government-aligned hackers are abusing Cloudflare because its services provide cheap, reputable, TLS-protected infrastructure that often looks like normal business web traffic. In the Malaysia-focuse. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# Russian state hackers abuse Cloudflare services to spy on Ukrainian targets. A Russian state-sponsored hacker group, known as Gamaredon, has been targeting Ukrainian-speaking vic" source context "Russian state hackers abuse Cloudflare services to spy on ..." Reference image 2: visual subject "**Help
openai.com
Les campagnes modernes de cyber‑espionnage ne se cachent plus uniquement sur des serveurs obscurs. De plus en plus, elles utilisent les mêmes plateformes cloud que les entreprises du monde entier.
Des recherches récentes sur des intrusions ciblant des organisations en Malaisie montrent comment des attaquants exploitent les services Cloudflare — notamment R2, Workers, Pages et Tunnels — pour héberger du phishing, distribuer des logiciels malveillants et exfiltrer des données tout en se fondant dans le trafic web légitime.
Pour les équipes de sécurité, le problème est évident : bloquer massivement un fournisseur cloud majeur comme Cloudflare ou Microsoft Azure peut interrompre des services métiers essentiels.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « Quand les cyberespions se cachent dans le cloud : l’abus des services Cloudflare » ?
Des chercheurs ont identifié des campagnes d’espionnage ciblant des organisations malaisiennes qui exploitent les services Cloudflare (R2, Workers, Pages et Tunnels) pour héberger phishing, malware et infrastructures C2.
Quels sont les points clés à valider en premier ?
Des chercheurs ont identifié des campagnes d’espionnage ciblant des organisations malaisiennes qui exploitent les services Cloudflare (R2, Workers, Pages et Tunnels) pour héberger phishing, malware et infrastructures C2. Les attaquants utilisent ces plateformes cloud légitimes pour masquer le trafic malveillant dans un flux web normal, rendant la détection plus difficile pour les équipes de sécurité.
Que dois-je faire ensuite en pratique ?
Cette campagne illustre une tendance croissante : les acteurs étatiques s’appuient de plus en plus sur des infrastructures cloud fiables pour dissimuler leurs opérations.
Des chercheurs ont identifié une campagne d’attaque visant plusieurs organisations malaisiennes. L’infrastructure contrôlée par les attaquants était hébergée sur Microsoft Azure dans la région “Malaysia West”, ce qui suggère une opération soigneusement planifiée.
Les analystes ont découvert un ensemble d’outils personnalisés, notamment :
des scripts Python dédiés à la reconnaissance réseau interne
des outils d’accès à bases de données
des mécanismes d’exfiltration de fichiers vers des serveurs externes
Chaque cible semblait disposer de scripts adaptés à son environnement, un signe classique d’opérations d’espionnage prolongées plutôt que d’attaques opportunistes.
Selon les analyses, certaines étapes de l’infrastructure d’attaque utilisaient des services cloud légitimes — dont ceux de Cloudflare — pour masquer les communications malveillantes dans un trafic web normal.
Comment les services Cloudflare peuvent être détournés
Les outils proposés par Cloudflare sont conçus pour les développeurs et les entreprises. Mais ces mêmes fonctionnalités peuvent aussi être exploitées pour construire des infrastructures d’attaque discrètes.
R2 : stockage pour phishing et malware
Cloudflare R2 est un service de stockage d’objets utilisé pour héberger des fichiers ou des sites statiques.
Des attaquants l’utilisent pour :
héberger des pages de phishing imitant des portails Microsoft ou des services cloud
stocker des archives malveillantes ou des chargeurs de malware
servir de dépôt temporaire pour les charges utiles (payloads)
Les téléchargements provenant d’un domaine cloud reconnu paraissent souvent légitimes aux systèmes de sécurité.
Les chercheurs ont d’ailleurs observé une multiplication par 61 du trafic vers des pages de phishing hébergées sur Cloudflare R2 en six mois, signe d’une adoption rapide par les cybercriminels.
Cloudflare Pages : faux sites crédibles
Cloudflare Pages permet d’héberger facilement des sites web statiques sur une infrastructure mondiale.
Les attaquants peuvent y déployer des portails de connexion frauduleux qui ressemblent à des services authentiques. Comme le site est servi via le réseau Cloudflare, les victimes voient une infrastructure réputée plutôt qu’un domaine suspect.
Workers : un command‑and‑control sans serveur
Les Cloudflare Workers permettent d’exécuter du code JavaScript directement à la périphérie du réseau Cloudflare.
Dans les campagnes malveillantes, cette fonctionnalité peut servir à créer :
des redirections vers des pages de phishing
des proxys inverses interceptant les identifiants
des services légers de command‑and‑control (C2)
Certaines campagnes utilisent même une technique appelée phishing transparent, où un Worker agit comme un proxy vers une véritable page de connexion tout en capturant discrètement les identifiants saisis.
Cloudflare Tunnels : infrastructure cachée
Cloudflare Tunnel permet d’exposer un service interne via le réseau Cloudflare sans révéler l’adresse IP réelle du serveur.
Des acteurs malveillants l’utilisent pour :
distribuer des malwares via des liens dans des emails de phishing
héberger des charges malveillantes derrière des sous‑domaines Cloudflare
cacher des serveurs C2 aux scans internet
Des rapports de sécurité ont documenté des campagnes distribuant des RAT (Remote Access Trojans) via des infrastructures basées sur Cloudflare Tunnel.
Pourquoi ces attaques sont difficiles à détecter
Les infrastructures cloud offrent plusieurs avantages stratégiques aux cyberespions.
D’abord, le trafic vers des services comme Cloudflare ou Azure ressemble à du trafic SaaS normal. Les solutions de sécurité ont donc du mal à distinguer activité légitime et communication malveillante sans générer de faux positifs massifs.
Ensuite, les services serverless permettent aux attaquants de modifier rapidement leur infrastructure : changer les redirections, déplacer les payloads ou remplacer un serveur compromis peut se faire en quelques minutes.
Enfin, les opérations peuvent être réparties entre plusieurs fournisseurs cloud, compliquant l’attribution et les investigations forensiques.
Des groupes suspects… mais aucune attribution définitive
Les analyses publiques décrivent une activité compatible avec des techniques d’espionnage étatique, mais aucune attribution formelle n’a été confirmée.
Certains analystes évoquent des similitudes avec APT41, un groupe lié à la Chine actif depuis au moins 2012 et connu pour cibler les secteurs technologiques, télécoms et de la santé dans de nombreux pays.
APT41 a déjà utilisé des infrastructures cloud et des réseaux de diffusion de contenu pour masquer ses opérations ou ses serveurs de commandement.
Cependant, les rapports disponibles précisent qu’il n’existe pas encore de preuve reliant directement cette campagne malaisienne à APT41, Mustang Panda ou Amaranth‑Dragon.
Pourquoi la Malaisie attire les cyberespions
La Malaisie devient une cible stratégique en raison de l’essor rapide de son économie numérique.
Le pays investit massivement dans les technologies émergentes — intelligence artificielle, centres de données, cloud computing et big data. Les investissements numériques ont atteint 163,6 milliards de ringgits en 2024, suivis de 87,4 milliards en 2025.
Cette croissance attire naturellement l’intérêt des groupes d’espionnage, qui peuvent chercher à accéder à :
des identités cloud et comptes d’entreprise
de la propriété intellectuelle et du code logiciel
des infrastructures de centres de données
des systèmes numériques liés au gouvernement
Pour un acteur étatique, infiltrer ces secteurs peut fournir des renseignements économiques et stratégiques précieux.
Une évolution plus large des infrastructures d’attaque
L’affaire malaisienne illustre une tendance croissante dans les cyber‑opérations : les attaquants abandonnent progressivement les serveurs clairement malveillants au profit d’infrastructures cloud légitimes.
En intégrant leurs opérations dans des plateformes fiables — stockage d’objets, services serverless ou réseaux CDN — ils bénéficient de plusieurs avantages :
la réputation de fournisseurs cloud reconnus
du trafic chiffré ressemblant à une activité web normale
une infrastructure facilement remplaçable et évolutive
Pour les défenseurs, cela signifie que la simple réputation d’un domaine ou d’un fournisseur cloud ne suffit plus. La détection repose désormais davantage sur l’analyse comportementale, l’observation d’usages anormaux des services cloud et la surveillance des flux sortants de données.
À mesure que les plateformes cloud deviennent plus puissantes, elles deviennent aussi — involontairement — une partie de l’infrastructure utilisée dans les opérations modernes de cyber‑espionnage.
Des chercheurs ont identifié une campagne d’attaque visant plusieurs organisations malaisiennes. L’infrastructure contrôlée par les attaquants était hébergée sur Microsoft Azure dans la région “Malaysia West”, ce qui suggère une opération soigneusement planifiée.
Les analystes ont découvert un ensemble d’outils personnalisés, notamment :
des scripts Python dédiés à la reconnaissance réseau interne
des outils d’accès à bases de données
des mécanismes d’exfiltration de fichiers vers des serveurs externes
Chaque cible semblait disposer de scripts adaptés à son environnement, un signe classique d’opérations d’espionnage prolongées plutôt que d’attaques opportunistes.
Selon les analyses, certaines étapes de l’infrastructure d’attaque utilisaient des services cloud légitimes — dont ceux de Cloudflare — pour masquer les communications malveillantes dans un trafic web normal.
Comment les services Cloudflare peuvent être détournés
Les outils proposés par Cloudflare sont conçus pour les développeurs et les entreprises. Mais ces mêmes fonctionnalités peuvent aussi être exploitées pour construire des infrastructures d’attaque discrètes.
R2 : stockage pour phishing et malware
Cloudflare R2 est un service de stockage d’objets utilisé pour héberger des fichiers ou des sites statiques.
Des attaquants l’utilisent pour :
héberger des pages de phishing imitant des portails Microsoft ou des services cloud
stocker des archives malveillantes ou des chargeurs de malware
servir de dépôt temporaire pour les charges utiles (payloads)
Les téléchargements provenant d’un domaine cloud reconnu paraissent souvent légitimes aux systèmes de sécurité.
Les chercheurs ont d’ailleurs observé une multiplication par 61 du trafic vers des pages de phishing hébergées sur Cloudflare R2 en six mois, signe d’une adoption rapide par les cybercriminels.
Cloudflare Pages : faux sites crédibles
Cloudflare Pages permet d’héberger facilement des sites web statiques sur une infrastructure mondiale.
Les attaquants peuvent y déployer des portails de connexion frauduleux qui ressemblent à des services authentiques. Comme le site est servi via le réseau Cloudflare, les victimes voient une infrastructure réputée plutôt qu’un domaine suspect.
Workers : un command‑and‑control sans serveur
Les Cloudflare Workers permettent d’exécuter du code JavaScript directement à la périphérie du réseau Cloudflare.
Dans les campagnes malveillantes, cette fonctionnalité peut servir à créer :
des redirections vers des pages de phishing
des proxys inverses interceptant les identifiants
des services légers de command‑and‑control (C2)
Certaines campagnes utilisent même une technique appelée phishing transparent, où un Worker agit comme un proxy vers une véritable page de connexion tout en capturant discrètement les identifiants saisis.
Cloudflare Tunnels : infrastructure cachée
Cloudflare Tunnel permet d’exposer un service interne via le réseau Cloudflare sans révéler l’adresse IP réelle du serveur.
Des acteurs malveillants l’utilisent pour :
distribuer des malwares via des liens dans des emails de phishing
héberger des charges malveillantes derrière des sous‑domaines Cloudflare
cacher des serveurs C2 aux scans internet
Des rapports de sécurité ont documenté des campagnes distribuant des RAT (Remote Access Trojans) via des infrastructures basées sur Cloudflare Tunnel.
Pourquoi ces attaques sont difficiles à détecter
Les infrastructures cloud offrent plusieurs avantages stratégiques aux cyberespions.
D’abord, le trafic vers des services comme Cloudflare ou Azure ressemble à du trafic SaaS normal. Les solutions de sécurité ont donc du mal à distinguer activité légitime et communication malveillante sans générer de faux positifs massifs.
Ensuite, les services serverless permettent aux attaquants de modifier rapidement leur infrastructure : changer les redirections, déplacer les payloads ou remplacer un serveur compromis peut se faire en quelques minutes.
Enfin, les opérations peuvent être réparties entre plusieurs fournisseurs cloud, compliquant l’attribution et les investigations forensiques.
Des groupes suspects… mais aucune attribution définitive
Les analyses publiques décrivent une activité compatible avec des techniques d’espionnage étatique, mais aucune attribution formelle n’a été confirmée.
Certains analystes évoquent des similitudes avec APT41, un groupe lié à la Chine actif depuis au moins 2012 et connu pour cibler les secteurs technologiques, télécoms et de la santé dans de nombreux pays.
APT41 a déjà utilisé des infrastructures cloud et des réseaux de diffusion de contenu pour masquer ses opérations ou ses serveurs de commandement.
Cependant, les rapports disponibles précisent qu’il n’existe pas encore de preuve reliant directement cette campagne malaisienne à APT41, Mustang Panda ou Amaranth‑Dragon.
Pourquoi la Malaisie attire les cyberespions
La Malaisie devient une cible stratégique en raison de l’essor rapide de son économie numérique.
Le pays investit massivement dans les technologies émergentes — intelligence artificielle, centres de données, cloud computing et big data. Les investissements numériques ont atteint 163,6 milliards de ringgits en 2024, suivis de 87,4 milliards en 2025.
Cette croissance attire naturellement l’intérêt des groupes d’espionnage, qui peuvent chercher à accéder à :
des identités cloud et comptes d’entreprise
de la propriété intellectuelle et du code logiciel
des infrastructures de centres de données
des systèmes numériques liés au gouvernement
Pour un acteur étatique, infiltrer ces secteurs peut fournir des renseignements économiques et stratégiques précieux.
Une évolution plus large des infrastructures d’attaque
L’affaire malaisienne illustre une tendance croissante dans les cyber‑opérations : les attaquants abandonnent progressivement les serveurs clairement malveillants au profit d’infrastructures cloud légitimes.
En intégrant leurs opérations dans des plateformes fiables — stockage d’objets, services serverless ou réseaux CDN — ils bénéficient de plusieurs avantages :
la réputation de fournisseurs cloud reconnus
du trafic chiffré ressemblant à une activité web normale
une infrastructure facilement remplaçable et évolutive
Pour les défenseurs, cela signifie que la simple réputation d’un domaine ou d’un fournisseur cloud ne suffit plus. La détection repose désormais davantage sur l’analyse comportementale, l’observation d’usages anormaux des services cloud et la surveillance des flux sortants de données.
À mesure que les plateformes cloud deviennent plus puissantes, elles deviennent aussi — involontairement — une partie de l’infrastructure utilisée dans les opérations modernes de cyber‑espionnage.
oasis-security.ioCustom Attack Tooling Including Undisclosed C2 Infrastructure ...
cofense.comThe Unintentional Enabler: How Cloudflare Services are Abused for ...
varutra.comHackers Exploit Cloudflare Storage Services to Steal Network Files
netskope.comEvasive Phishing Campaign Steals Cloud Credentials Using ...