攻击者正滥用Cloudflare隧道传播恶意软件并逃避检测
内容提要
网络安全公司发现滥用Clouflare的TryCloudflare免费服务进行恶意软件传播的情况增加。攻击方式是利用TryCloudflare创建速率限制隧道，通过Cloudflare的基础设施将流量从攻击者控制的服务器中继到本地机器。攻击链可传播多个恶意软件。攻击载体是一封网络钓鱼邮件，目标是世界各地的组织机构。活动被归因于经济动机。Proofpoint建议Cloudflare审查反滥用政策。
延伸解读
攻击链的技术细节
攻击始于包含ZIP文件的钓鱼邮件，解压后是URL快捷方式，指向TryCloudflare托管的WebDAV服务器上的Windows快捷方式。该快捷方式执行批处理脚本，下载并运行Python有效载荷，同时显示诱饵PDF以迷惑受害者。脚本还会更改文件属性以规避检测。这种多阶段手法结合了合法云服务，增加了追踪难度。
企业防护重点
由于攻击利用WebDAV和SMB部署有效载荷，企业应限制对外部文件共享服务的访问，仅允许已知的、列入允许列表的服务器。同时，需警惕多语言钓鱼邮件，主题常涉及发票、文件请求等。员工应接受培训，识别此类诱饵文档和快捷方式文件，避免执行可疑附件。
攻击者的成本与规避优势
使用TryCloudflare隧道为攻击者提供了低成本、临时性的基础设施，可快速构建和关闭攻击，限制了检测和删除工作的风险。这种“依赖信任的服务”（LoTS）策略滥用Cloudflare的合法声誉，掩盖恶意流量，增强运营安全性。Spamhaus因此呼吁Cloudflare审查其反滥用政策。
Q&A
攻击者如何利用Cloudflare进行恶意软件传播？
攻击者通过TryCloudflare创建速率限制隧道，将流量从控制的服务器中继到本地机器，从而传播恶意软件。
哪些恶意软件被传播？
传播的恶意软件包括AsyncRAT、GuLoader、PureLogs Stealer、Remcos RAT、Venom RAT和XWorm等。
网络钓鱼邮件的内容通常是什么？
网络钓鱼邮件通常包含ZIP文件，主题涉及发票、文件请求、包裹递送和税收等，使用多种语言编写。
企业应如何防范此类攻击？
企业应限制外部文件共享服务的访问权限，以防止恶意有效载荷的部署。
这类攻击的经济动机是什么？
该活动被归因于经济动机，攻击者通过传播恶意软件获取经济利益。
Cloudflare的反滥用政策有什么问题？
Spamhaus项目呼吁Cloudflare审查其反滥用政策，以应对攻击者利用其服务进行恶意活动的问题。
