คำตอบเผยแพร่แล้ว2 เดือนที่ผ่านมาLast edited เดือนที่แล้ว20 แหล่งที่มา

เมื่อโครงสร้างสอดแนมไซเบอร์ซ่อนอยู่ใน Cloudflare

นักวิจัยพบแคมเปญสอดแนมไซเบอร์ที่โจมตีหลายองค์กรในมาเลเซีย โดยใช้โครงสร้างพื้นฐานบน Microsoft Azure และอัปโหลดข้อมูลที่ขโมยได้ไปยังพื้นที่เก็บข้อมูลบน Cloudflare เพื่อซ่อนการขโมยข้อมูล [17] บริการของ Cloudflare เช่น R2, Pages, Workers และ Tunnels ถูกนำไปใช้สร้างโครงสร้างโจมตี เช่น โฮสต์มัลแวร์ หน้า phishing ช่องทาง c...

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI ดูหน้าที่กำลังมาแรงเพิ่มเติม

Illustration of cyber espionage infrastructure hidden within cloud services like Cloudflare — What does the reported cyber espionage campaign against Malaysian organizations reveal about how state-backed threat actors are abusing ClouState‑aligned threat actors increasingly hide command infrastructure, phishing pages, and data‑exfiltration channels inside legitimate cloud services.
AI พรอมต์
Create a landscape editorial hero image for this Studio Global article: What does the reported cyber espionage campaign against Malaysian organizations reveal about how state-backed threat actors are abusing Clou. Article summary: The Malaysia case shows a broader pattern: state-backed or state-aligned operators are hiding espionage infrastructure inside trusted cloud platforms, using Cloudflare not just as a CDN shield but as storage, app-hosting. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Malaysia’s digital growth and geopolitics widen cyber attack surface, raising critical infrastructure risks. New data from Cyfirma threat landscape report disclosed that Malaysia" source context "Malaysia's digital growth and geopolitics widen cyber attack surface ..." Reference image 2: visual subject "##### The Latest. A cam
openai.com

การสอดแนมไซเบอร์กำลังเปลี่ยนรูปแบบอย่างชัดเจน จากเดิมที่ผู้โจมตีต้องตั้งเซิร์ฟเวอร์อันตรายของตัวเอง ปัจจุบันพวกเขาเริ่ม "ซ่อนตัว" อยู่ภายในบริการคลาวด์ที่องค์กรทั่วโลกใช้จริง เช่น Cloudflare

กรณีศึกษาล่าสุดจากแคมเปญโจมตีองค์กรในมาเลเซียแสดงให้เห็นว่า ผู้โจมตีสามารถซ่อนขั้นตอนสำคัญของการโจมตี—ตั้งแต่การควบคุมระบบที่ติดมัลแวร์ไปจนถึงการขโมยข้อมูล—ภายใต้ทราฟฟิก HTTPS ที่ดูเหมือนปกติได้อย่างแนบเนียน

สำหรับทีมรักษาความปลอดภัย นี่ทำให้การตรวจจับยากขึ้นมาก เพราะการเชื่อมต่อไปยัง Cloudflare หรือบริการคลาวด์อื่น ๆ มักถือว่าเป็นทราฟฟิกที่ “เชื่อถือได้” ในระบบเครือข่ายองค์กร

แคมเปญโจมตีในมาเลเซีย: เครื่องมือเฉพาะเป้าหมายและโครงสร้างคลาวด์

นักวิจัยด้านความปลอดภัยพบแคมเปญการบุกรุกที่มุ่งเป้าองค์กรหลายแห่งในมาเลเซีย โดยผู้โจมตีใช้โครงสร้างพื้นฐานที่โฮสต์บน Microsoft Azure ในภูมิภาค Malaysia West

ผู้โจมตีสร้างเครื่องมือ Python แบบเฉพาะสำหรับแต่ละเป้าหมาย เพื่อทำงานหลายอย่างภายในเครือข่าย เช่น

สำรวจเครือข่ายภายใน
เข้าถึงฐานข้อมูล
เตรียมไฟล์ข้อมูลสำหรับขโมยออก
ส่งข้อมูลออกจากระบบของเหยื่อ

หนึ่งในเครื่องมือสำคัญคือสคริปต์ที่ออกแบบมาเพื่ออัปโหลดข้อมูลที่ขโมยได้ไปยังพื้นที่เก็บข้อมูลบน Cloudflare ซึ่งอยู่ภายใต้บัญชีของผู้โจมตีเอง

ผลลัพธ์คือ การขโมยข้อมูลถูกซ่อนอยู่ในทราฟฟิก HTTPS ปกติที่ดูเหมือนการเชื่อมต่อกับบริการคลาวด์ทั่วไป ทำให้ระบบป้องกันแบบดั้งเดิมตรวจจับได้ยาก

ขั้นตอนของการโจมตีโดยรวมประกอบด้วย

การสำรวจระบบภายในและเข้าถึงฐานข้อมูล
การใช้งาน WinRM เพื่อสั่งงานระยะไกล
การสร้างไฟล์ archive สำหรับข้อมูลที่ถูกขโมย
การดึงข้อมูล credential จากระบบ Windows
การสื่อสารกับเซิร์ฟเวอร์ภายนอกผ่าน HTTPS

การใช้บริการคลาวด์ในขั้นตอนสุดท้าย—โดยเฉพาะการส่งข้อมูลออก—ช่วยให้ผู้โจมตีหลบเลี่ยงระบบป้องกันเครือข่ายที่มักบล็อกโดเมนที่ดูน่าสงสัย

ทำไมบริการของ Cloudflare จึงถูกใช้เป็นโครงสร้างโจมตี

Cloudflare เป็นแพลตฟอร์มคลาวด์ขนาดใหญ่ที่ให้บริการหลายอย่าง เช่น CDN, โฮสต์เว็บไซต์, serverless computing และระบบ tunnel สำหรับเชื่อมต่อเซิร์ฟเวอร์

ฟีเจอร์เหล่านี้มีประโยชน์ต่อผู้พัฒนาซอฟต์แวร์ แต่ในอีกด้านหนึ่งก็สามารถถูกนำไปใช้โดยผู้โจมตีได้เช่นกัน

รายงานด้านความปลอดภัยหลายฉบับพบว่าบริการของ Cloudflare ปรากฏอยู่ในแคมเปญโจมตีไซเบอร์มากขึ้น เพราะทราฟฟิกจากแพลตฟอร์มนี้มักผสมกลมกลืนกับทราฟฟิกปกติของอินเทอร์เน็ต

Cloudflare R2: ช่องทางซ่อนการขโมยข้อมูล

R2 เป็นบริการ object storage คล้ายกับ Amazon S3

ผู้โจมตีสามารถใช้ R2 เพื่อ

อัปโหลดไฟล์ข้อมูลที่ขโมยจากเครือข่ายองค์กร
เก็บไฟล์มัลแวร์
แจกจ่าย payload ผ่านโดเมนที่อยู่ในเครือข่าย Cloudflare

ในแคมเปญที่พบในมาเลเซีย นักวิจัยตรวจพบสคริปต์ที่ถูกสร้างขึ้นเพื่ออัปโหลดข้อมูลที่ขโมยได้ไปยัง storage บน Cloudflare โดยตรง

Cloudflare Pages: โฮสต์เว็บ phishing

Cloudflare Pages เป็นบริการสำหรับโฮสต์เว็บไซต์แบบ static อย่างรวดเร็ว

ผู้โจมตีสามารถใช้มันเพื่อสร้าง

หน้า login ปลอม
หน้าโหลดเอกสารปลอม
เว็บไซต์ phishing ที่ดูเหมือนบริการจริง

เนื่องจากเว็บไซต์ถูกโฮสต์บนโครงสร้างพื้นฐานของ Cloudflare จึงดูเหมือนเว็บไซต์ปกติสำหรับระบบป้องกันหลายประเภท

Cloudflare Workers: ตัวกลางควบคุมคำสั่ง

Workers คือแพลตฟอร์ม serverless ที่รันโค้ดบน edge network ของ Cloudflare

ผู้โจมตีสามารถใช้ Workers เพื่อ

รีไดเร็กต์เหยื่อไปยังเว็บไซต์ phishing
ทำหน้าที่เป็นตัวกลางของ command‑and‑control
ซ่อนการสื่อสารระหว่างมัลแวร์กับเซิร์ฟเวอร์ควบคุม

มีรายงานว่าบางโครงสร้างพื้นฐานของมัลแวร์ประเภท RAT ใช้ Cloudflare Workers เป็นช่องทาง C2 โดยตรง

Cloudflare Tunnels: ซ่อนตำแหน่งเซิร์ฟเวอร์จริง

Cloudflare Tunnel ช่วยให้เซิร์ฟเวอร์ภายในสามารถเปิดให้เข้าถึงจากอินเทอร์เน็ตโดยไม่ต้องเปิดเผย IP จริง

ผู้โจมตีใช้ฟีเจอร์นี้เพื่อ

ซ่อนตำแหน่งของเซิร์ฟเวอร์โจมตี
โฮสต์ payload ของมัลแวร์
ส่งไฟล์ติดมัลแวร์ผ่าน phishing

แคมเปญมัลแวร์ก่อนหน้านี้พบการใช้ subdomain ของ Cloudflare Tunnel เพื่อแจกจ่าย RAT ผ่านไฟล์แนบในอีเมล phishing

แนวโน้มการสอดแนมไซเบอร์ในเอเชียตะวันออกเฉียงใต้

เหตุการณ์ในมาเลเซียไม่ได้เกิดขึ้นโดดเดี่ยว แต่สะท้อนแนวโน้มที่กว้างขึ้นในภูมิภาค

การขยายตัวของโครงสร้างพื้นฐานดิจิทัลของมาเลเซีย—โดยเฉพาะในภาคพลังงาน โทรคมนาคม และการขนส่ง—ทำให้ประเทศมีความสำคัญเชิงยุทธศาสตร์มากขึ้น และกลายเป็นเป้าหมายของการสอดแนมไซเบอร์

หลายกลุ่ม APT ที่ปฏิบัติการในเอเชียมีพฤติกรรมคล้ายกัน

Mustang Panda

Mustang Panda เป็นกลุ่มสอดแนมไซเบอร์ที่เชื่อมโยงกับจีนและมีปฏิบัติการอย่างน้อยตั้งแต่ปี 2012 โดยมักใช้ phishing และเอกสารล่อเพื่อส่งมัลแวร์ไปยังองค์กรรัฐบาลและการทูต

APT41

APT41 ถูกประเมินอย่างกว้างขวางว่าเป็นกลุ่มที่ได้รับการสนับสนุนจากรัฐจีน และดำเนินปฏิบัติการสอดแนมในหลายอุตสาหกรรมทั่วโลก

Amaranth‑Dragon

กลุ่มที่เพิ่งถูกติดตามไม่นานชื่อ Amaranth‑Dragon ถูกเชื่อมโยงกับระบบนิเวศของ APT41 และมีรายงานว่าโจมตีหน่วยงานรัฐบาลและบังคับใช้กฎหมายในประเทศอาเซียนหลายประเทศ

แม้กิจกรรมที่พบในมาเลเซียจะยังไม่ได้ถูกระบุว่าเป็นฝีมือของกลุ่มใดโดยตรง แต่รูปแบบการโจมตี—การใช้เครื่องมือเฉพาะเป้าหมาย โครงสร้างคลาวด์ และการซ่อนทราฟฟิก—สอดคล้องกับยุทธวิธีของกลุ่มสอดแนมระดับรัฐเหล่านี้

ทำไมการโจมตีแบบนี้ตรวจจับยาก

ปัญหาหลักของผู้ป้องกันคือ ทราฟฟิกจำนวนมากดูเหมือน "ปกติ"

การเชื่อมต่อ HTTPS ไปยัง Cloudflare storage หรือ endpoint ของ serverless แทบจะแยกไม่ออกจากการใช้งานจริงขององค์กร

การบล็อก Cloudflare ทั้งหมดก็แทบเป็นไปไม่ได้ เพราะเว็บไซต์และบริการจำนวนมากใช้แพลตฟอร์มนี้

ดังนั้นทีมความปลอดภัยจึงต้องหันไปใช้การตรวจจับเชิงพฤติกรรม เช่น

การอัปโหลดไฟล์ไปยัง Cloudflare storage ที่ไม่เคยเกิดขึ้นมาก่อน
เซิร์ฟเวอร์ภายในติดต่อ subdomain ของ Cloudflare ที่ไม่คุ้นเคย
การส่ง HTTPS POST ขนาดใหญ่หลังจากมีการสร้างไฟล์ archive
เครื่องเซิร์ฟเวอร์ที่ปกติไม่ออกอินเทอร์เน็ตเริ่มเชื่อมต่อบริการคลาวด์
ทราฟฟิกคลาวด์ที่เกิดพร้อมกับกิจกรรม credential dumping หรือการเข้าถึงฐานข้อมูล

บทเรียนด้านความปลอดภัยที่สำคัญ

กรณีในมาเลเซียสะท้อนการเปลี่ยนแปลงสำคัญของโครงสร้างโจมตีไซเบอร์: ผู้โจมตีไม่จำเป็นต้องสร้างโครงสร้างพื้นฐานที่ดูอันตรายอีกต่อไป แต่สามารถ "อาศัยอยู่" ภายในระบบคลาวด์ที่องค์กรทั่วโลกเชื่อถือ

สำหรับผู้ป้องกัน นั่นหมายความว่าแนวทางด้านความปลอดภัยต้องเปลี่ยนจากการพึ่งพา allow‑list หรือชื่อโดเมน ไปสู่การวิเคราะห์พฤติกรรม การจัดการตัวตน และการติดตามการเคลื่อนย้ายข้อมูลภายในระบบคลาวด์

เพราะเมื่อโครงสร้างโจมตีซ่อนอยู่ในแพลตฟอร์มที่ได้รับความเชื่อถือทั่วโลก สิ่งที่ต้องจับตาไม่ใช่แค่ "ทราฟฟิกไปที่ไหน" แต่คือ "ทราฟฟิกนั้นทำอะไรอยู่"

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI

คนยังถาม

คำตอบสั้น ๆ สำหรับ "เมื่อโครงสร้างสอดแนมไซเบอร์ซ่อนอยู่ใน Cloudflare" คืออะไร

ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?

ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?

รูปแบบนี้สอดคล้องกับแนวโน้มการสอดแนมไซเบอร์ในเอเชียตะวันออกเฉียงใต้ ซึ่งมีกลุ่ม APT เช่น Mustang Panda, APT41 และ Amaranth‑Dragon ที่มุ่งเป้าองค์กรรัฐและโครงสร้างพื้นฐานสำคัญ [2][15][9]

แหล่งที่มา

← Back to Trending