黑客濫用 Cloudflare 雲服務　隱形發動網絡間諜攻擊

網絡間諜活動而家愈來愈「光明正大」——直接藏喺企業每日都會用到嘅雲端服務入面。

最新安全研究顯示，有攻擊者針對馬來西亞多個組織發動入侵行動，並且利用 Cloudflare 嘅開發者平台服務，例如 R2、Workers、Pages 同 Tunnels，去建立隱蔽嘅攻擊基建。透過呢啲服務，黑客可以託管釣魚網站、存放惡意程式、甚至將偷到嘅資料外傳，而整個過程嘅網絡流量往往同正常網站流量幾乎無分別。

對企業嚟講，呢種策略特別棘手——因為好多公司唔可能直接封鎖 Cloudflare 或其他大型雲服務，否則可能連正常業務都會被迫中斷。

馬來西亞行動：隱藏基建同客製化工具

安全研究人員發現，一個針對多個馬來西亞機構嘅入侵行動使用咗攻擊者控制嘅雲端基建。呢啲基建部署喺 Microsoft Azure 嘅 Malaysia West 區域，而且整個行動有相當高程度嘅規劃。

調查顯示，攻擊者為不同目標開發咗專門工具，例如：

• 用 Python 編寫嘅內部網絡偵察腳本
• 用於存取資料庫嘅客製化工具
• 將機密資料外傳嘅自動化程式

整個攻擊環境採用模組化設計，方便長時間潛伏同監視受害者系統。分析指出，部分攻擊流程亦利用 Cloudflare 平台隱藏流量來源，令惡意活動混入正常雲端通信之中。

黑客如何濫用 Cloudflare 各種服務

Cloudflare 提供嘅開發平台原本係為網站同應用程式而設，但同一套工具亦可以被黑客用嚟建立隱蔽攻擊基建。

R2 Storage：存放釣魚頁面同惡意程式

Cloudflare R2 係一個物件儲存服務，可以用嚟託管檔案或者靜態網站。攻擊者會利用佢去存放釣魚頁面或者惡意程式，因為下載來源係可信雲端網域，警覺性通常較低。

研究人員曾經記錄到：

• 六個月內，託管喺 Cloudflare R2 嘅釣魚頁面流量增加 61 倍。

常見用途包括：

• 偽裝成 Microsoft 或其他雲服務登入頁面偷帳密
• 存放惡意壓縮檔或載入器
• 作為第二階段惡意程式嘅下載點

Cloudflare Pages：看似正常嘅釣魚網站

Cloudflare Pages 可以用嚟快速部署靜態網站，而且網站內容會經全球 CDN 網絡傳送。

黑客可以喺呢個平台上建立高度仿真的釣魚網站，受害者打開連結時看到嘅係 Cloudflare 網絡提供嘅頁面，而唔係可疑嘅陌生網域。

由於好多企業本身已經信任 Cloudflare 網絡，直接封鎖相關域名通常唔可行。

Cloudflare Workers：無伺服器指揮控制

Cloudflare Workers 允許開發者喺 Cloudflare 邊緣網絡執行 JavaScript 程式。

攻擊者可以利用呢個功能建立靈活嘅攻擊邏輯，例如：

• 將受害者重定向到釣魚網站
• 建立反向代理攔截登入資料
• 充當輕量級命令與控制（C2）伺服器

研究顯示 Workers 甚至可以用於透明釣魚（transparent phishing）：用反向代理方式顯示真實網站，但同時暗中截取輸入嘅帳號密碼。

Cloudflare Tunnels：隱藏惡意基建

Cloudflare Tunnel 可以將防火牆後面嘅服務透過 Cloudflare 網絡公開，而無需直接暴露伺服器 IP。

黑客濫用呢個功能可以：

• 透過釣魚郵件提供惡意下載連結
• 喺 Cloudflare 子網域後面託管惡意檔案
• 隱藏指揮控制伺服器，避免被掃描發現

有安全報告指出，部分攻擊活動利用 Cloudflare Tunnel 傳播遠端控制木馬（RAT），從而隱藏真正嘅惡意伺服器位置。

點解咁難被偵測

利用雲端平台進行攻擊對間諜行動有幾個明顯優勢。

首先，經 Cloudflare 或 Azure 傳輸嘅 HTTPS 流量，通常同正常 SaaS 或 CDN 流量非常相似，令安全系統難以判斷哪些連線屬於惡意活動。

其次，Serverless 平台令攻擊者可以快速改變行為，例如即時修改重定向邏輯、替換惡意程式下載位置，甚至快速更換基建。

最後，攻擊者可以同時利用多個雲服務供應商，令追蹤來源同取證分析變得更加複雜。

可能涉事嘅威脅組織

公開報告指出，呢次馬來西亞行動嘅手法與國家支持型網絡間諜行動相似，但目前仍未有確定歸因。

部分分析員指出，某些戰術同 APT41 類似——呢個被認為與中國有關聯嘅威脅組織，自 2012 年以來曾針對全球多個國家嘅科技、電訊、醫療同金融機構進行網絡間諜活動。

APT41 過去亦曾利用 CDN 或雲端基建隱藏指揮控制伺服器。

不過目前仍然未有證據證明今次行動直接由 APT41、Mustang Panda 或 Amaranth‑Dragon 發動，因此仍被視為疑似國家支持嘅間諜活動，而非已確認嘅攻擊組織。

為何馬來西亞成為目標

馬來西亞近年大力發展數碼經濟，亦令其成為網絡間諜活動嘅新焦點。

官方數據顯示：

• 2024 年數碼投資達 RM163.6 billion（約 1636 億令吉）
• 2025 年批准嘅數碼投資約 RM87.4 billion

投資主要集中喺：

• 人工智能（AI）
• 大數據
• 雲端服務
• 資料中心基建

呢啲領域對情報機構極具價值，例如：

• 企業雲端帳號同身份系統
• 軟件源碼同知識產權
• 數據中心基建
• 政府相關數碼系統

一旦入侵成功，攻擊者可能獲得經濟情報、技術資料，甚至地緣政治相關資訊。

網絡間諜基建正轉向雲端

馬來西亞案例其實反映咗一個更大嘅趨勢：

攻擊者正逐步放棄明顯嘅惡意伺服器，轉而利用可信雲端基建。

透過將攻擊流程嵌入合法平台，例如：

• 物件儲存服務
• Serverless 運算
• CDN 網絡

威脅行為者可以獲得幾個優勢：

• 借用大型雲平台嘅信譽
• 加密流量混入正常網絡活動
• 快速建立或更換基建

對防禦方而言，單靠封鎖可疑網域已經不足夠。愈來愈多安全團隊開始依賴行為分析、異常雲服務使用監控，以及更深入嘅資料外流偵測，先有機會發現呢類隱蔽攻擊。

隨住雲端平台功能愈來愈強大，同一套工具亦可能同時成為現代應用程式同現代網絡間諜行動嘅基建。