Cloudflare vira plataforma furtiva para operações de ciberespionagem
Uma campanha de espionagem cibernética contra organizações da Malásia utilizou serviços legítimos da Cloudflare para esconder infraestrutura de comando e canais de exfiltração de dados. Pesquisadores identificaram ferramentas Python personalizadas, infraestrutura hospedada no Microsoft Azure e scripts que enviavam d...
Uma campanha de espionagem cibernética contra organizações da Malásia utilizou serviços legítimos da Cloudflare para esconder infraestrutura de comando e canais de exfiltração de dados.
Pesquisadores identificaram ferramentas Python personalizadas, infraestrutura hospedada no Microsoft Azure e scripts que enviavam dados roubados para armazenamento controlado por atacantes na Cloudflare.
O caso reflete uma tendência crescente no Sudeste Asiático, onde grupos ligados a estados usam plataformas de nuvem confiáveis para hospedar phishing, malware e canais furtivos de comunicação.
What does the reported cyber espionage campaign against Malaysian organizations reveal about how state-backed threat actors are abusing ClouState‑aligned threat actors increasingly hide command infrastructure, phishing pages, and data‑exfiltration channels inside legitimate cloud services.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What does the reported cyber espionage campaign against Malaysian organizations reveal about how state-backed threat actors are abusing Clou. Article summary: The Malaysia case shows a broader pattern: state-backed or state-aligned operators are hiding espionage infrastructure inside trusted cloud platforms, using Cloudflare not just as a CDN shield but as storage, app-hosting. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Malaysia’s digital growth and geopolitics widen cyber attack surface, raising critical infrastructure risks. New data from Cyfirma threat landscape report disclosed that Malaysia" source context "Malaysia's digital growth and geopolitics widen cyber attack surface ..." Reference image 2: visual subject "##### The Latest. A cam
openai.com
Operações modernas de ciberespionagem estão cada vez mais escondidas dentro de infraestrutura legítima de nuvem. Uma campanha recente que teve como alvo organizações na Malásia mostra como atacantes conseguem misturar distribuição de malware, controle remoto e exfiltração de dados em tráfego aparentemente normal ao abusar de serviços confiáveis como os da Cloudflare.
Em vez de depender de domínios suspeitos ou servidores obviamente maliciosos, os invasores passaram a utilizar plataformas legítimas de nuvem e conexões HTTPS criptografadas. Para equipes de segurança, isso torna a detecção muito mais difícil, já que bloqueios baseados em reputação de domínio ou listas negras podem não identificar a atividade.
A campanha na Malásia: ferramentas sob medida e infraestrutura em nuvem
Pesquisadores de segurança identificaram uma campanha direcionada que envolveu múltiplas organizações malaias e infraestrutura controlada pelos atacantes hospedada no Microsoft Azure, na região Malaysia West. Os invasores desenvolveram ferramentas em Python personalizadas para cada alvo, usadas para mapear redes internas, acessar bancos de dados e exfiltrar informações sensíveis.
Uma das descobertas mais importantes foi um script criado especificamente para enviar dados roubados para um endpoint de armazenamento controlado pelos atacantes dentro da infraestrutura da Cloudflare. Com isso, o tráfego parecia apenas comunicação HTTPS comum com um serviço legítimo de nuvem.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Cloudflare vira plataforma furtiva para operações de ciberespionagem"?
Uma campanha de espionagem cibernética contra organizações da Malásia utilizou serviços legítimos da Cloudflare para esconder infraestrutura de comando e canais de exfiltração de dados.
Quais são os pontos-chave para validar primeiro?
Uma campanha de espionagem cibernética contra organizações da Malásia utilizou serviços legítimos da Cloudflare para esconder infraestrutura de comando e canais de exfiltração de dados. Pesquisadores identificaram ferramentas Python personalizadas, infraestrutura hospedada no Microsoft Azure e scripts que enviavam dados roubados para armazenamento controlado por atacantes na Cloudflare.
O que devo fazer a seguir na prática?
O caso reflete uma tendência crescente no Sudeste Asiático, onde grupos ligados a estados usam plataformas de nuvem confiáveis para hospedar phishing, malware e canais furtivos de comunicação.
O fluxo da intrusão incluía diversas etapas típicas de espionagem digital:
Reconhecimento interno da rede e acesso a bancos de dados
Execução remota usando WinRM
Criação de arquivos compactados contendo dados roubados
Artefatos de coleta de credenciais em sistemas Windows
Execução de comandos externos via endpoints HTTPS
Usar serviços de nuvem para a fase final — a exfiltração — ajuda os atacantes a evitar muitas defesas de perímetro que normalmente bloqueariam domínios desconhecidos ou suspeitos.
Por que serviços da Cloudflare são atraentes para atacantes
A Cloudflare opera uma enorme plataforma global que inclui armazenamento de objetos, computação serverless, hospedagem de sites e serviços de tunelamento de rede. Essas mesmas ferramentas que ajudam desenvolvedores e empresas também podem ser exploradas por invasores para ocultar infraestrutura maliciosa.
Relatórios de segurança mostram que vários serviços da empresa aparecem repetidamente em campanhas maliciosas porque seu tráfego se mistura facilmente ao uso legítimo da nuvem.
R2 Storage: exfiltração escondida
O Cloudflare R2 é um serviço de armazenamento de objetos semelhante ao Amazon S3. Em campanhas maliciosas, ele pode ser usado para:
Enviar arquivos roubados de redes comprometidas
Armazenar payloads de malware
Distribuir arquivos a partir de domínios confiáveis da Cloudflare
Na campanha malaia, pesquisadores observaram um script projetado especificamente para enviar dados exfiltrados para armazenamento hospedado na Cloudflare.
Cloudflare Pages: infraestrutura de phishing
O Cloudflare Pages permite hospedar sites estáticos rapidamente. Atacantes podem usar esse recurso para criar páginas falsas de login, portais de download de documentos ou páginas de phishing que parecem legítimas, beneficiando‑se da infraestrutura confiável da rede da Cloudflare.
Cloudflare Workers: relés de comando na borda da rede
Workers permitem executar código serverless diretamente na rede global da Cloudflare. Atores maliciosos podem usar esse recurso para:
Redirecionar vítimas para páginas de phishing
Servir como intermediários para comunicação de comando e controle (C2)
Encaminhar tráfego malicioso dinamicamente
Pesquisas recentes documentaram casos em que infraestrutura de controle de trojans de acesso remoto operava inteiramente por meio de contas do Cloudflare Workers.
Cloudflare Tunnels: ocultando servidores de origem
O Cloudflare Tunnel permite expor serviços internos na internet sem revelar o endereço IP real do servidor. Para invasores, isso significa que a infraestrutura real pode permanecer escondida atrás da rede da Cloudflare.
Campanhas de malware já abusaram de subdomínios de Cloudflare Tunnel para hospedar payloads distribuídos via e‑mail de phishing e cadeias de infecção automatizadas.
Um padrão maior de espionagem no Sudeste Asiático
O incidente na Malásia se encaixa em um padrão regional mais amplo: grupos de espionagem que operam no Sudeste Asiático estão cada vez mais usando plataformas legítimas de nuvem para esconder suas operações.
A rápida expansão digital da Malásia — especialmente em setores como telecomunicações, transporte e energia — ampliou a superfície de ataque do país e aumentou seu valor estratégico para coleta de inteligência.
Diversos grupos APT conhecidos na região utilizam táticas semelhantes.
Mustang Panda
Mustang Panda é um ator de ciberespionagem associado à China ativo pelo menos desde 2012. O grupo frequentemente usa campanhas de phishing e malware customizado para atingir governos, organizações diplomáticas e entidades de pesquisa.
APT41
APT41 é amplamente considerado um grupo patrocinado pelo Estado chinês que conduz campanhas de espionagem em vários países e setores. O grupo usa uma combinação de malware personalizado e ferramentas variadas para manter acesso prolongado às redes das vítimas.
Amaranth‑Dragon
Campanhas mais recentes no Sudeste Asiático foram atribuídas ao grupo Amaranth‑Dragon, considerado próximo ao ecossistema do APT41. Pesquisadores observaram ataques direcionados a agências governamentais e forças de segurança em países da ASEAN.
Embora a atividade ligada à Cloudflare observada na Malásia ainda não tenha sido atribuída publicamente a um grupo específico, seu padrão operacional — ferramentas personalizadas, foco regional e infraestrutura furtiva — é consistente com as técnicas usadas por atores de espionagem alinhados a estados.
Por que é tão difícil detectar esse tipo de ataque
O maior desafio para defensores é que o tráfego envolvido parece totalmente legítimo.
Uma requisição para armazenamento da Cloudflare ou para um endpoint serverless se parece com qualquer outra comunicação HTTPS criptografada na web. Bloquear todo o serviço geralmente é inviável, já que muitas empresas dependem da Cloudflare para operações legítimas.
Por isso, a detecção precisa cada vez mais se basear em comportamento, não apenas em reputação de domínio.
Alguns sinais que podem indicar atividade suspeita incluem:
uploads inesperados para endpoints de armazenamento da Cloudflare
novos subdomínios da Cloudflare sendo acessados por servidores internos
grandes requisições HTTPS POST após criação de arquivos compactados
sistemas que raramente acessam a internet começando a se comunicar com serviços de nuvem
tráfego para a nuvem correlacionado com coleta de credenciais, acesso a bancos de dados ou atividades administrativas remotas
A principal lição de segurança
A campanha de espionagem observada na Malásia destaca uma mudança importante na estratégia de infraestrutura usada por atacantes. Em vez de operar servidores claramente maliciosos, muitos grupos agora preferem "viver" dentro de ecossistemas de nuvem amplamente confiáveis.
Para equipes de segurança, isso significa que controles baseados apenas em listas de permissões ou reputação de domínio já não são suficientes. A defesa precisa evoluir para monitoramento mais profundo de identidade, comportamento e movimentação de dados dentro dos serviços de nuvem.
Quando a infraestrutura maliciosa se esconde dentro de plataformas globais confiáveis, detectar o invasor deixa de ser uma questão de para onde o tráfego vai — e passa a depender de como esse tráfego se comporta.
