黑客滥用Cloudflare隧道基础设施传播多种远程访问木马
💡
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
网络安全专家发现攻击者利用Cloudflare隧道基础设施传播多种远程访问木马（RAT）。这些攻击通过伪装成发票的钓鱼邮件进行，感染链复杂，采用多种混淆技术，显示出持续演变的特性，威胁全球组织的安全。
🎯
关键要点
-
网络安全专家发现攻击者利用Cloudflare隧道基础设施传播多种远程访问木马（RAT）。
-
该基础设施自2024年2月以来展现出极强的持久性，成为恶意文件和木马的分发平台。
-
初始感染途径为伪装成发票的钓鱼邮件，附件采用无害的文件格式以绕过安全网关。
-
攻击采用复杂的多阶段感染链，运用多种混淆技术规避检测系统。
-
攻击者利用带有' trycloudflare.com '后缀的域名托管恶意内容，最终建立持久远程访问。
-
感染过程始于用户与伪装成PDF文档的LNK文件交互，随后执行HTA文件。
-
恶意软件创建启动项以实现持久化，并通过PowerShell反射加载从JPEG图像下载的载荷。
-
攻击活动的演变表明威胁行为体持续调整技术以绕过安全控制，强调多层检测和持续监控的重要性。
❓
延伸问答
攻击者是如何利用Cloudflare隧道基础设施的？
攻击者利用Cloudflare隧道基础设施分发多种远程访问木马（RAT），通过伪装成发票的钓鱼邮件进行初始感染。
这种攻击的初始感染途径是什么？
初始感染途径为伪装成发票的钓鱼邮件，附件采用无害的文件格式以绕过安全网关。
攻击者使用了哪些技术来规避检测？
攻击者采用复杂的多阶段感染链和多种混淆技术，以规避检测系统。
这种攻击对全球组织的影响是什么？
这种攻击威胁全球组织的安全，可能导致数据窃取和进一步的网络入侵。
攻击的感染链是如何运作的？
感染链始于用户与伪装成PDF文档的LNK文件交互，随后执行HTA文件，最终建立持久远程访问。
为什么攻击者选择使用Cloudflare的基础设施？
攻击者选择Cloudflare的基础设施因为其持久性和能够托管恶意内容，便于进行远程访问。
➡️
