Cloudflare เป็นแพลตฟอร์มคลาวด์ขนาดใหญ่ที่ให้บริการหลายอย่าง เช่น CDN, โฮสต์เว็บไซต์, serverless computing และระบบ tunnel สำหรับเชื่อมต่อเซิร์ฟเวอร์
ฟีเจอร์เหล่านี้มีประโยชน์ต่อผู้พัฒนาซอฟต์แวร์ แต่ในอีกด้านหนึ่งก็สามารถถูกนำไปใช้โดยผู้โจมตีได้เช่นกัน
รายงานด้านความปลอดภัยหลายฉบับพบว่าบริการของ Cloudflare ปรากฏอยู่ในแคมเปญโจมตีไซเบอร์มากขึ้น เพราะทราฟฟิกจากแพลตฟอร์มนี้มักผสมกลมกลืนกับทราฟฟิกปกติของอินเทอร์เน็ต
R2 เป็นบริการ object storage คล้ายกับ Amazon S3
ผู้โจมตีสามารถใช้ R2 เพื่อ
ในแคมเปญที่พบในมาเลเซีย นักวิจัยตรวจพบสคริปต์ที่ถูกสร้างขึ้นเพื่ออัปโหลดข้อมูลที่ขโมยได้ไปยัง storage บน Cloudflare โดยตรง
Cloudflare Pages เป็นบริการสำหรับโฮสต์เว็บไซต์แบบ static อย่างรวดเร็ว
ผู้โจมตีสามารถใช้มันเพื่อสร้าง
เนื่องจากเว็บไซต์ถูกโฮสต์บนโครงสร้างพื้นฐานของ Cloudflare จึงดูเหมือนเว็บไซต์ปกติสำหรับระบบป้องกันหลายประเภท
Workers คือแพลตฟอร์ม serverless ที่รันโค้ดบน edge network ของ Cloudflare
ผู้โจมตีสามารถใช้ Workers เพื่อ
Cloudflare Tunnel ช่วยให้เซิร์ฟเวอร์ภายในสามารถเปิดให้เข้าถึงจากอินเทอร์เน็ตโดยไม่ต้องเปิดเผย IP จริง
ผู้โจมตีใช้ฟีเจอร์นี้เพื่อ
แคมเปญมัลแวร์ก่อนหน้านี้พบการใช้ subdomain ของ Cloudflare Tunnel เพื่อแจกจ่าย RAT ผ่านไฟล์แนบในอีเมล phishing
เหตุการณ์ในมาเลเซียไม่ได้เกิดขึ้นโดดเดี่ยว แต่สะท้อนแนวโน้มที่กว้างขึ้นในภูมิภาค
การขยายตัวของโครงสร้างพื้นฐานดิจิทัลของมาเลเซีย—โดยเฉพาะในภาคพลังงาน โทรคมนาคม และการขนส่ง—ทำให้ประเทศมีความสำคัญเชิงยุทธศาสตร์มากขึ้น และกลายเป็นเป้าหมายของการสอดแนมไซเบอร์
หลายกลุ่ม APT ที่ปฏิบัติการในเอเชียมีพฤติกรรมคล้ายกัน
Mustang Panda เป็นกลุ่มสอดแนมไซเบอร์ที่เชื่อมโยงกับจีนและมีปฏิบัติการอย่างน้อยตั้งแต่ปี 2012 โดยมักใช้ phishing และเอกสารล่อเพื่อส่งมัลแวร์ไปยังองค์กรรัฐบาลและการทูต
APT41 ถูกประเมินอย่างกว้างขวางว่าเป็นกลุ่มที่ได้รับการสนับสนุนจากรัฐจีน และดำเนินปฏิบัติการสอดแนมในหลายอุตสาหกรรมทั่วโลก
กลุ่มที่เพิ่งถูกติดตามไม่นานชื่อ Amaranth‑Dragon ถูกเชื่อมโยงกับระบบนิเวศของ APT41 และมีรายงานว่าโจมตีหน่วยงานรัฐบาลและบังคับใช้กฎหมายในประเทศอาเซียนหลายประเทศ
แม้กิจกรรมที่พบในมาเลเซียจะยังไม่ได้ถูกระบุว่าเป็นฝีมือของกลุ่มใดโดยตรง แต่รูปแบบการโจมตี—การใช้เครื่องมือเฉพาะเป้าหมาย โครงสร้างคลาวด์ และการซ่อนทราฟฟิก—สอดคล้องกับยุทธวิธีของกลุ่มสอดแนมระดับรัฐเหล่านี้
ปัญหาหลักของผู้ป้องกันคือ ทราฟฟิกจำนวนมากดูเหมือน "ปกติ"
การเชื่อมต่อ HTTPS ไปยัง Cloudflare storage หรือ endpoint ของ serverless แทบจะแยกไม่ออกจากการใช้งานจริงขององค์กร
การบล็อก Cloudflare ทั้งหมดก็แทบเป็นไปไม่ได้ เพราะเว็บไซต์และบริการจำนวนมากใช้แพลตฟอร์มนี้
ดังนั้นทีมความปลอดภัยจึงต้องหันไปใช้การตรวจจับเชิงพฤติกรรม เช่น
กรณีในมาเลเซียสะท้อนการเปลี่ยนแปลงสำคัญของโครงสร้างโจมตีไซเบอร์: ผู้โจมตีไม่จำเป็นต้องสร้างโครงสร้างพื้นฐานที่ดูอันตรายอีกต่อไป แต่สามารถ "อาศัยอยู่" ภายในระบบคลาวด์ที่องค์กรทั่วโลกเชื่อถือ
สำหรับผู้ป้องกัน นั่นหมายความว่าแนวทางด้านความปลอดภัยต้องเปลี่ยนจากการพึ่งพา allow‑list หรือชื่อโดเมน ไปสู่การวิเคราะห์พฤติกรรม การจัดการตัวตน และการติดตามการเคลื่อนย้ายข้อมูลภายในระบบคลาวด์
เพราะเมื่อโครงสร้างโจมตีซ่อนอยู่ในแพลตฟอร์มที่ได้รับความเชื่อถือทั่วโลก สิ่งที่ต้องจับตาไม่ใช่แค่ "ทราฟฟิกไปที่ไหน" แต่คือ "ทราฟฟิกนั้นทำอะไรอยู่"
Comments
0 comments