Cloudflare vira plataforma furtiva para operações de ciberespionagem

Operações modernas de ciberespionagem estão cada vez mais escondidas dentro de infraestrutura legítima de nuvem. Uma campanha recente que teve como alvo organizações na Malásia mostra como atacantes conseguem misturar distribuição de malware, controle remoto e exfiltração de dados em tráfego aparentemente normal ao abusar de serviços confiáveis como os da Cloudflare.

Em vez de depender de domínios suspeitos ou servidores obviamente maliciosos, os invasores passaram a utilizar plataformas legítimas de nuvem e conexões HTTPS criptografadas. Para equipes de segurança, isso torna a detecção muito mais difícil, já que bloqueios baseados em reputação de domínio ou listas negras podem não identificar a atividade.

A campanha na Malásia: ferramentas sob medida e infraestrutura em nuvem

Pesquisadores de segurança identificaram uma campanha direcionada que envolveu múltiplas organizações malaias e infraestrutura controlada pelos atacantes hospedada no Microsoft Azure, na região Malaysia West. Os invasores desenvolveram ferramentas em Python personalizadas para cada alvo, usadas para mapear redes internas, acessar bancos de dados e exfiltrar informações sensíveis.

Uma das descobertas mais importantes foi um script criado especificamente para enviar dados roubados para um endpoint de armazenamento controlado pelos atacantes dentro da infraestrutura da Cloudflare. Com isso, o tráfego parecia apenas comunicação HTTPS comum com um serviço legítimo de nuvem.

O fluxo da intrusão incluía diversas etapas típicas de espionagem digital:

• Reconhecimento interno da rede e acesso a bancos de dados
• Execução remota usando WinRM
• Criação de arquivos compactados contendo dados roubados
• Artefatos de coleta de credenciais em sistemas Windows
• Execução de comandos externos via endpoints HTTPS

Usar serviços de nuvem para a fase final — a exfiltração — ajuda os atacantes a evitar muitas defesas de perímetro que normalmente bloqueariam domínios desconhecidos ou suspeitos.

Por que serviços da Cloudflare são atraentes para atacantes

A Cloudflare opera uma enorme plataforma global que inclui armazenamento de objetos, computação serverless, hospedagem de sites e serviços de tunelamento de rede. Essas mesmas ferramentas que ajudam desenvolvedores e empresas também podem ser exploradas por invasores para ocultar infraestrutura maliciosa.

Relatórios de segurança mostram que vários serviços da empresa aparecem repetidamente em campanhas maliciosas porque seu tráfego se mistura facilmente ao uso legítimo da nuvem.

R2 Storage: exfiltração escondida

O Cloudflare R2 é um serviço de armazenamento de objetos semelhante ao Amazon S3. Em campanhas maliciosas, ele pode ser usado para:

• Enviar arquivos roubados de redes comprometidas
• Armazenar payloads de malware
• Distribuir arquivos a partir de domínios confiáveis da Cloudflare

Na campanha malaia, pesquisadores observaram um script projetado especificamente para enviar dados exfiltrados para armazenamento hospedado na Cloudflare.

Cloudflare Pages: infraestrutura de phishing

O Cloudflare Pages permite hospedar sites estáticos rapidamente. Atacantes podem usar esse recurso para criar páginas falsas de login, portais de download de documentos ou páginas de phishing que parecem legítimas, beneficiando‑se da infraestrutura confiável da rede da Cloudflare.

Cloudflare Workers: relés de comando na borda da rede

Workers permitem executar código serverless diretamente na rede global da Cloudflare. Atores maliciosos podem usar esse recurso para:

• Redirecionar vítimas para páginas de phishing
• Servir como intermediários para comunicação de comando e controle (C2)
• Encaminhar tráfego malicioso dinamicamente

Pesquisas recentes documentaram casos em que infraestrutura de controle de trojans de acesso remoto operava inteiramente por meio de contas do Cloudflare Workers.

Cloudflare Tunnels: ocultando servidores de origem

O Cloudflare Tunnel permite expor serviços internos na internet sem revelar o endereço IP real do servidor. Para invasores, isso significa que a infraestrutura real pode permanecer escondida atrás da rede da Cloudflare.

Campanhas de malware já abusaram de subdomínios de Cloudflare Tunnel para hospedar payloads distribuídos via e‑mail de phishing e cadeias de infecção automatizadas.

Um padrão maior de espionagem no Sudeste Asiático

O incidente na Malásia se encaixa em um padrão regional mais amplo: grupos de espionagem que operam no Sudeste Asiático estão cada vez mais usando plataformas legítimas de nuvem para esconder suas operações.

A rápida expansão digital da Malásia — especialmente em setores como telecomunicações, transporte e energia — ampliou a superfície de ataque do país e aumentou seu valor estratégico para coleta de inteligência.

Diversos grupos APT conhecidos na região utilizam táticas semelhantes.

Mustang Panda

Mustang Panda é um ator de ciberespionagem associado à China ativo pelo menos desde 2012. O grupo frequentemente usa campanhas de phishing e malware customizado para atingir governos, organizações diplomáticas e entidades de pesquisa.

APT41

APT41 é amplamente considerado um grupo patrocinado pelo Estado chinês que conduz campanhas de espionagem em vários países e setores. O grupo usa uma combinação de malware personalizado e ferramentas variadas para manter acesso prolongado às redes das vítimas.

Amaranth‑Dragon

Campanhas mais recentes no Sudeste Asiático foram atribuídas ao grupo Amaranth‑Dragon, considerado próximo ao ecossistema do APT41. Pesquisadores observaram ataques direcionados a agências governamentais e forças de segurança em países da ASEAN.

Embora a atividade ligada à Cloudflare observada na Malásia ainda não tenha sido atribuída publicamente a um grupo específico, seu padrão operacional — ferramentas personalizadas, foco regional e infraestrutura furtiva — é consistente com as técnicas usadas por atores de espionagem alinhados a estados.

Por que é tão difícil detectar esse tipo de ataque

O maior desafio para defensores é que o tráfego envolvido parece totalmente legítimo.

Uma requisição para armazenamento da Cloudflare ou para um endpoint serverless se parece com qualquer outra comunicação HTTPS criptografada na web. Bloquear todo o serviço geralmente é inviável, já que muitas empresas dependem da Cloudflare para operações legítimas.

Por isso, a detecção precisa cada vez mais se basear em comportamento, não apenas em reputação de domínio.

Alguns sinais que podem indicar atividade suspeita incluem:

• uploads inesperados para endpoints de armazenamento da Cloudflare
• novos subdomínios da Cloudflare sendo acessados por servidores internos
• grandes requisições HTTPS POST após criação de arquivos compactados
• sistemas que raramente acessam a internet começando a se comunicar com serviços de nuvem
• tráfego para a nuvem correlacionado com coleta de credenciais, acesso a bancos de dados ou atividades administrativas remotas

A principal lição de segurança

A campanha de espionagem observada na Malásia destaca uma mudança importante na estratégia de infraestrutura usada por atacantes. Em vez de operar servidores claramente maliciosos, muitos grupos agora preferem "viver" dentro de ecossistemas de nuvem amplamente confiáveis.

Para equipes de segurança, isso significa que controles baseados apenas em listas de permissões ou reputação de domínio já não são suficientes. A defesa precisa evoluir para monitoramento mais profundo de identidade, comportamento e movimentação de dados dentro dos serviços de nuvem.

Quando a infraestrutura maliciosa se esconde dentro de plataformas globais confiáveis, detectar o invasor deixa de ser uma questão de para onde o tráfego vai — e passa a depender de como esse tráfego se comporta.