đŁ Malware & Cloudflare : SERPENTINE#CLOUD dĂ©tourne les tunnels Cloudflare pour livrer ses RATs en douce
Une nouvelle campagne dâattaque baptisĂ©e SERPENTINE#CLOUD exploite lâinfrastructure Cloudflare Tunnel pour hĂ©berger des malwares et les injecter directement en mĂ©moire via des chaĂźnes de phishing bien ficelĂ©es. Une technique aussi discrĂšte qu’efficace, qui illustre Ă merveille lâabus dâoutils lĂ©gitimes au service de la cybercriminalitĂ©.
đŻ Objectif de l’attaque : infecter des machines via des campagnes de phishing utilisant lâinfrastructure de Cloudflare Tunnel pour hĂ©berger des malwares, en toute discrĂ©tion.
âïž Un nuage un peu trop accueillant
Cloudflare Tunnel est, Ă la base, un outil lĂ©gitime permettant de rendre un service local accessible depuis lâextĂ©rieur sans configuration rĂ©seau complexe. Mais il est dĂ©sormais dĂ©tournĂ© dans une campagne nommĂ©e SERPENTINE#CLOUD par les chercheurs de Securonix.
Pourquoi ça fonctionne ? Parce que les tunnels créés via cloudflared sont :
- hébergés sur des sous-domaines Cloudflare (
trycloudflare.com) - difficiles à bloquer, car Cloudflare est massivement utilisé en entreprise
- et surtout chiffrĂ©s de bout en bout, ce qui rend lâinspection rĂ©seau complexe.
đŹ La chaĂźne dâinfection
La mécanique est bien huilée :
- Phishing mail contenant un fichierÂ
.zip ouÂ.lnk (raccourci Windows) - Ce fichier dĂ©clenche un loader Python (souvent packĂ© avecÂ
pyinstaller) - Le loader Ă©tablit un tunnel viaÂ
cloudflared pour rĂ©cupĂ©rer la charge utile - Injection directe en mĂ©moire du malware final (souvent un RAT â Remote Access Trojan)
đ„ RĂ©sultat : pas dâĂ©criture disque visible, pas de domaine exotique (câest du Cloudflare), et une persistance souvent via tĂąches planifiĂ©es ou RunOnce.
đ Les RATs Ă bord
Les charges utiles observées incluent :
- Quasar RATÂ â open-source, mais redoutable
- NetWire
- Et dâautres implants personnalisĂ©s, injectĂ©s viaÂ
ctypes ouÂPE injection
Le tout est encapsulĂ© dans un loader Python, qui peut facilement se faire passer pour un utilitaire lĂ©gitime⊠ou tout simplement passer sous les radars dâun antivirus classique.
đ§ Pourquoi câest malin (et inquiĂ©tant)
- Bypass réseau : comme pour Ngrok, Tailscale ou autres, les tunnels contournent les proxy/firewall classiques
- Infrastructure Cloudflare = faux sentiment de sécurité
- Python loaders = multiplateforme, modifiables à volonté, et faciles à dissimuler
- Pas dâexĂ©cutable tĂ©lĂ©versĂ© directement : tout passe par des scripts, injectĂ©s ensuite
Bref, câest lâexemple parfait dâun abuse de service lĂ©gitime, dans la droite lignĂ©e des attaques âLiving off the Landâ (LotL).
đĄïž Recommandations (aka « Faites pas les marioles »)
đ CĂŽtĂ© dĂ©fense :
- Filtrage DNSÂ : bloquez les sous-domainesÂ
trycloudflare.com si non utilisĂ©s en interne - Surveillance de processus : alertez sur les exĂ©cutions anormales deÂ
cloudflared.exe,Âpyinstaller, ouÂpython.exe - Segmentation rĂ©seau stricte pour Ă©viter les mouvements latĂ©raux post-infection
- Formation des utilisateurs contre les fichiersÂ
.lnk suspects (toujours dâactualitĂ© !)
đ”ïž CĂŽtĂ© dĂ©tection :
- Surveillez les connexions sortantes persistantes vers des domaines inconnus mais enÂ
.com - Analysez les journaux d’exĂ©cution PowerShell, Python ou script shell
đ En rĂ©sumĂ©
SERPENTINE#CLOUD montre encore une fois Ă quel point les cyberattaquants savent tirer parti dâoutils lĂ©gitimespour masquer leurs intentions. Cloudflare, Python, des fichiers .lnk, rien de neuf en soi. Mais bien orchestrĂ©s, ces Ă©lĂ©ments deviennent des armes redoutables contre les infrastructures trop permissives.
