Quand l’espionnage informatique se dissimule dans le cloud de confiance

Les opérations de cyber‑espionnage évoluent rapidement. Plutôt que d’héberger leurs infrastructures sur des serveurs clairement suspects, certains groupes d’attaque utilisent désormais des services cloud réputés pour masquer leurs activités. Une campagne récente visant des organisations malaisiennes illustre parfaitement cette stratégie : les attaquants ont intégré leurs outils d’exfiltration et de commande à distance directement dans l’écosystème Cloudflare.

Le résultat est un trafic qui ressemble, pour les systèmes de défense, à de simples connexions HTTPS vers un fournisseur cloud légitime. Dans ce contexte, les mécanismes traditionnels — filtrage par domaine ou réputation d’adresse — deviennent beaucoup moins efficaces.

Une campagne ciblant des organisations malaisiennes

Des chercheurs en sécurité ont identifié une intrusion ciblée touchant plusieurs organisations en Malaisie. L’infrastructure utilisée par les attaquants était notamment hébergée sur Microsoft Azure dans la région Malaysia West. Les opérateurs avaient développé des outils Python personnalisés pour chaque cible afin d’explorer les réseaux internes, accéder à des bases de données et préparer l’exfiltration de données.

Parmi les découvertes les plus marquantes figure un script conçu pour transférer les fichiers volés vers un endpoint de stockage contrôlé par les attaquants et hébergé sur Cloudflare. Cette technique permettait de faire sortir les données tout en donnant l’apparence d’un simple trafic web chiffré vers un service cloud réputé.

Le déroulement de l’intrusion comprenait notamment :

• reconnaissance interne et exploration du réseau
• accès à des bases de données internes
• activité distante via WinRM
• création d’archives contenant les données volées
• artefacts de vol d’identifiants liés aux systèmes Windows
• exécution de commandes à distance via des endpoints HTTPS

L’utilisation d’un service cloud reconnu pour la phase finale — l’exfiltration — permet souvent d’éviter les contrôles de sécurité qui bloqueraient normalement des domaines inconnus ou suspects.

Pourquoi les services Cloudflare attirent les attaquants

Cloudflare est une plateforme mondiale qui propose de nombreux services : hébergement web, stockage d’objets, fonctions serverless, tunnels réseau ou encore CDN. Ces outils sont essentiels pour de nombreux développeurs et entreprises.

Mais ces mêmes fonctionnalités peuvent aussi être exploitées par des acteurs malveillants pour dissimuler leur infrastructure. Des analyses de sécurité montrent que plusieurs services Cloudflare apparaissent régulièrement dans des campagnes malveillantes, précisément parce que leur trafic se confond avec celui d’applications légitimes.

R2 : le stockage utilisé pour l’exfiltration

Cloudflare R2 est un service de stockage d’objets comparable à Amazon S3. Pour un attaquant, il peut servir à :

• envoyer des archives contenant des données volées
• stocker des charges malveillantes
• distribuer des fichiers depuis des domaines Cloudflare réputés

Dans la campagne observée en Malaisie, les chercheurs ont identifié un script dédié à l’envoi des données exfiltrées vers un stockage hébergé sur Cloudflare.

Cloudflare Pages : hébergement de sites de phishing

Cloudflare Pages permet de publier rapidement des sites web statiques. Des attaquants peuvent y déployer des portails de phishing ou de faux sites de téléchargement de documents tout en profitant de l’infrastructure Cloudflare, ce qui rend ces pages plus crédibles et plus difficiles à bloquer.

Cloudflare Workers : relais de commande à distance

Workers permet d’exécuter du code serverless directement sur le réseau mondial de Cloudflare. Des acteurs malveillants peuvent l’utiliser pour :

• rediriger des victimes vers des pages de phishing
• relayer des communications de command‑and‑control (C2)
• gérer dynamiquement le routage du trafic malveillant

Des chercheurs ont déjà observé des infrastructures de chevaux de Troie d’accès à distance (RAT) opérant entièrement via des comptes Cloudflare Workers.

Cloudflare Tunnel : masquer les serveurs d’origine

Cloudflare Tunnel permet d’exposer un serveur interne sur Internet sans révéler son adresse IP réelle. Pour un attaquant, cela signifie qu’il est possible de cacher l’infrastructure derrière Cloudflare tout en continuant à distribuer du malware ou des charges utiles.

Certaines campagnes malveillantes ont déjà utilisé des sous‑domaines de Cloudflare Tunnel pour héberger des fichiers malveillants diffusés via des e‑mails de phishing.

Une tendance plus large en Asie du Sud‑Est

L’incident malaisien ne semble pas isolé. Dans toute l’Asie du Sud‑Est, les opérations d’espionnage informatique utilisent de plus en plus des plateformes cloud légitimes pour masquer leurs activités.

La Malaisie est particulièrement exposée. L’expansion rapide de son infrastructure numérique — dans les télécommunications, l’énergie ou les transports — élargit la surface d’attaque et accroît l’intérêt stratégique du pays pour les opérations de renseignement.

Plusieurs groupes APT actifs dans la région utilisent des tactiques similaires.

Mustang Panda

Mustang Panda est un acteur d’espionnage informatique basé en Chine et actif au moins depuis 2012. Il cible régulièrement des gouvernements, des institutions diplomatiques et des organisations stratégiques au moyen de campagnes de phishing et de malwares personnalisés.

APT41

APT41 est considéré par de nombreux chercheurs comme un groupe soutenu par l’État chinois. Il mène des opérations d’espionnage à long terme contre différents secteurs et pays en utilisant un large éventail d’outils et de malwares.

Amaranth‑Dragon

Plus récemment, une série d’attaques en Asie du Sud‑Est a été attribuée au groupe Amaranth‑Dragon, que des chercheurs estiment étroitement lié à l’écosystème APT41. Le groupe a ciblé des agences gouvernementales et des forces de l’ordre dans plusieurs pays de l’ASEAN.

La campagne liée à Cloudflare en Malaisie n’a pas été publiquement attribuée à un groupe précis. Toutefois, ses caractéristiques — outils sur mesure, ciblage régional et infrastructure discrète — correspondent aux méthodes fréquemment utilisées par des acteurs d’espionnage étatiques.

Pourquoi ces attaques sont difficiles à détecter

Le principal problème pour les défenseurs est que le trafic semble parfaitement légitime.

Une connexion vers un endpoint Cloudflare ou un service serverless ressemble à n’importe quelle requête HTTPS chiffrée vers une plateforme cloud populaire. Bloquer entièrement ces services est rarement possible, car de nombreuses organisations en dépendent pour leurs opérations quotidiennes.

Les équipes de sécurité doivent donc se concentrer davantage sur les comportements que sur la simple réputation des domaines.

Par exemple, certains signaux peuvent attirer l’attention :

• envois inattendus de données vers des endpoints de stockage Cloudflare
• nouveaux sous‑domaines Cloudflare contactés par des serveurs internes
• requêtes HTTPS volumineuses envoyées juste après la création d’archives
• machines qui n’accèdent normalement pas à Internet mais communiquent soudainement avec des services cloud
• trafic cloud corrélé à des activités telles que dumping d’identifiants, accès à des bases de données ou actions administratives à distance

La leçon pour la cybersécurité

Cette campagne souligne une évolution importante de l’infrastructure des attaquants : plutôt que d’exploiter des serveurs clairement malveillants, ils opèrent désormais à l’intérieur d’écosystèmes cloud de confiance.

Pour les défenseurs, cela signifie que les stratégies de sécurité doivent évoluer. Les contrôles basés uniquement sur les listes blanches ou la réputation des domaines ne suffisent plus. La détection doit désormais analyser l’identité des utilisateurs, les comportements réseau et les flux de données — afin de distinguer une utilisation normale du cloud d’une activité d’espionnage soigneusement dissimulée.