Como hackers estão explorando a infraestrutura da Cloudflare para espionagem digital
Pesquisadores identificaram campanhas de ciberespionagem contra organizações da Malásia que utilizam serviços da Cloudflare para esconder infraestrutura maliciosa. Ferramentas como R2, Workers, Pages e Tunnels permitem hospedar phishing, distribuir malware e controlar ataques enquanto o tráfego parece legítimo.
How are government-backed hackers exploiting Cloudflare’s services (such as R2 storage, Pages, Workers, and Tunnels) to conduct cyber‑espionAttackers increasingly hide phishing, malware delivery, and command‑and‑control infrastructure inside trusted cloud platforms.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: How are government-backed hackers exploiting Cloudflare’s services (such as R2 storage, Pages, Workers, and Tunnels) to conduct cyber‑espion. Article summary: Government-backed or government-aligned hackers are abusing Cloudflare because its services provide cheap, reputable, TLS-protected infrastructure that often looks like normal business web traffic. In the Malaysia-focuse. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# Russian state hackers abuse Cloudflare services to spy on Ukrainian targets. A Russian state-sponsored hacker group, known as Gamaredon, has been targeting Ukrainian-speaking vic" source context "Russian state hackers abuse Cloudflare services to spy on ..." Reference image 2: visual subject "**Help
openai.com
Campanhas modernas de ciberespionagem estão cada vez mais escondidas em um lugar inesperado: dentro das mesmas plataformas de nuvem usadas diariamente por empresas legítimas.
Pesquisas recentes de segurança mostram que invasores têm como alvo organizações na Malásia enquanto utilizam serviços amplamente confiáveis da Cloudflare — como R2, Workers, Pages e Tunnels — para hospedar páginas de phishing, distribuir malware e mover dados roubados sem levantar suspeitas.
Como muitas empresas dependem dessas plataformas para operações legítimas, simplesmente bloquear o tráfego desses provedores pode causar interrupções graves. Isso cria uma vantagem estratégica para os atacantes.
Campanha na Malásia: infraestrutura oculta e ferramentas sob medida
Pesquisadores identificaram uma campanha direcionada contra múltiplas organizações malaias que utilizava infraestrutura controlada pelos atacantes hospedada no Microsoft Azure, na região Malaysia West.
A operação incluía ferramentas Python desenvolvidas especificamente para cada alvo, capazes de realizar:
Enumeração de redes internas
Acesso a bancos de dados
Exfiltração de dados sensíveis
Os investigadores encontraram um ambiente de ataque modular, com scripts personalizados para reconhecimento, coleta de dados e extração de arquivos roubados. Parte dessa cadeia de ataque aparentemente utilizava serviços de nuvem — incluindo os da Cloudflare — para esconder atividades maliciosas dentro de tráfego legítimo.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
Câu trả lời ngắn gọn cho "Como hackers estão explorando a infraestrutura da Cloudflare para espionagem digital" là gì?
Pesquisadores identificaram campanhas de ciberespionagem contra organizações da Malásia que utilizam serviços da Cloudflare para esconder infraestrutura maliciosa.
Những điểm chính cần xác nhận đầu tiên là gì?
Pesquisadores identificaram campanhas de ciberespionagem contra organizações da Malásia que utilizam serviços da Cloudflare para esconder infraestrutura maliciosa. Ferramentas como R2, Workers, Pages e Tunnels permitem hospedar phishing, distribuir malware e controlar ataques enquanto o tráfego parece legítimo.
Tôi nên làm gì tiếp theo trong thực tế?
O caso reflete uma tendência crescente: grupos de espionagem patrocinados por estados estão migrando para infraestruturas de nuvem confiáveis para evitar detecção.
Como os serviços da Cloudflare estão sendo explorados
A plataforma de desenvolvimento da Cloudflare oferece recursos poderosos para aplicações modernas. Mas os mesmos recursos também podem ser usados para criar infraestrutura de ataque difícil de detectar.
R2 Storage: hospedagem de phishing e malware
O Cloudflare R2 é um serviço de armazenamento de objetos capaz de hospedar arquivos ou sites estáticos. Atacantes têm usado esse recurso para armazenar páginas de phishing e cargas maliciosas.
Como os downloads vêm de um domínio confiável da Cloudflare, filtros de segurança podem tratá‑los como tráfego normal.
Pesquisadores observaram um aumento de 61 vezes no tráfego para páginas de phishing hospedadas no R2 em apenas seis meses, indicando rápida adoção da plataforma por cibercriminosos.
Entre os usos mais comuns estão:
Páginas falsas que imitam login da Microsoft ou outros serviços de nuvem
Hospedagem de arquivos maliciosos ou loaders
Armazenamento temporário para malware de segunda fase
Cloudflare Pages: sites de phishing convincentes
O Cloudflare Pages permite hospedar sites estáticos distribuídos globalmente. Atacantes podem publicar portais de phishing muito convincentes nessa infraestrutura.
Para a vítima, o site parece estar sendo servido por um provedor confiável — o que reduz suspeitas e dificulta bloqueios por ferramentas de segurança.
Cloudflare Workers: comando e controle sem servidor
Os Cloudflare Workers permitem executar código JavaScript diretamente na borda da rede da Cloudflare.
Isso permite que invasores criem infraestrutura flexível para ataques, como:
Redirecionadores que levam vítimas para páginas de phishing
Proxies reversos que interceptam credenciais
Serviços leves de command‑and‑control (C2)
Pesquisas mostram que Workers podem até ser usados para phishing transparente, funcionando como um proxy entre o usuário e uma página legítima de login enquanto capturam silenciosamente as credenciais digitadas.
Cloudflare Tunnels: acesso oculto à infraestrutura maliciosa
O Cloudflare Tunnel permite expor serviços internos à internet através da rede da Cloudflare sem revelar o servidor real por trás.
Isso pode ser explorado por atacantes para:
Distribuir malware por links enviados em e‑mails de phishing
Hospedar arquivos maliciosos sob subdomínios da Cloudflare
Esconder servidores de comando e controle de scanners da internet
Relatórios de segurança já documentaram campanhas que utilizam Cloudflare Tunnel para entregar RATs (Remote Access Trojans) enquanto ocultam o tráfego malicioso.
Por que esse tipo de ataque é difícil de detectar
Infraestruturas baseadas em nuvem oferecem várias vantagens para operações de espionagem digital.
Primeiro, conexões que passam por provedores confiáveis como Cloudflare ou Azure parecem tráfego comum de SaaS ou CDN, o que dificulta a identificação de atividades suspeitas sem gerar muitos falsos positivos.
Segundo, serviços serverless permitem que os atacantes mudem rapidamente seu comportamento sem gerenciar servidores próprios. Um script em Workers, por exemplo, pode alterar redirecionamentos, atualizar payloads ou trocar endpoints quase instantaneamente.
Por fim, usar múltiplos provedores de nuvem distribui a infraestrutura do ataque, dificultando investigação forense e atribuição.
Possíveis grupos envolvidos — e os desafios de atribuição
Relatórios públicos indicam que a campanha apresenta características comuns a operações de espionagem alinhadas a interesses estatais, embora a atribuição definitiva ainda não exista.
Alguns analistas apontam semelhanças com atividades do grupo APT41, um ator ligado à China conhecido por campanhas de espionagem e ataques a setores como telecomunicações, tecnologia e saúde em vários países.
Esse grupo já foi observado usando infraestrutura de CDN e serviços como Cloudflare Workers para esconder servidores e mascarar operações.
Mesmo assim, até o momento não há confirmação oficial conectando diretamente essa campanha aos grupos APT41, Mustang Panda ou Amaranth‑Dragon. O caso permanece classificado como atividade suspeita de espionagem estatal.
Por que a Malásia virou um alvo
A economia digital da Malásia vem crescendo rapidamente, transformando o país em um centro tecnológico regional.
Investimentos digitais aprovados chegaram a RM163,6 bilhões em 2024 e RM87,4 bilhões em 2025, impulsionados principalmente por setores como inteligência artificial, big data, data centers e computação em nuvem.
Esse crescimento cria alvos valiosos para espionagem, incluindo:
Credenciais de serviços de nuvem corporativos
Propriedade intelectual e código de software
Infraestrutura de data centers
Sistemas digitais ligados ao governo
Para grupos de espionagem, comprometer empresas nesses setores pode gerar vantagens econômicas e estratégicas.
Uma tendência maior na ciberespionagem
O caso da Malásia reflete uma mudança clara nas operações de espionagem digital.
Em vez de depender de servidores obviamente maliciosos, muitos atacantes agora escondem partes de suas operações dentro de infraestruturas de nuvem confiáveis.
Ao incorporar serviços legítimos como armazenamento de objetos, computação serverless e redes de distribuição de conteúdo (CDNs), os invasores ganham várias vantagens:
reputação herdada de provedores confiáveis
tráfego criptografado que se mistura ao uso normal da internet
capacidade de escalar ou substituir rapidamente a infraestrutura
Para as equipes de segurança, isso significa que bloquear domínios por reputação já não é suficiente. Detectar essas campanhas exige monitoramento comportamental, análise de uso anômalo de serviços de nuvem e inspeção mais profunda de fluxos de dados de saída.
À medida que plataformas de nuvem continuam evoluindo, as mesmas ferramentas que impulsionam aplicações modernas também estão se tornando parte da infraestrutura de espionagem cibernética moderna.
