💣 Malware & Cloudflare : SERPENTINE#CLOUD détourne les tunnels Cloudflare pour livrer ses RATs en douce
Une nouvelle campagne d’attaque baptisée SERPENTINE#CLOUD exploite l’infrastructure Cloudflare Tunnel pour héberger des malwares et les injecter directement en mémoire via des chaînes de phishing bien ficelées. Une technique aussi discrète qu’efficace, qui illustre à merveille l’abus d’outils légitimes au service de la cybercriminalité.
🎯 Objectif de l’attaque : infecter des machines via des campagnes de phishing utilisant l’infrastructure de Cloudflare Tunnel pour héberger des malwares, en toute discrétion.
☁️ Un nuage un peu trop accueillant
Cloudflare Tunnel est, à la base, un outil légitime permettant de rendre un service local accessible depuis l’extérieur sans configuration réseau complexe. Mais il est désormais détourné dans une campagne nommée SERPENTINE#CLOUD par les chercheurs de Securonix.
Pourquoi ça fonctionne ? Parce que les tunnels créés via cloudflared sont :
- hébergés sur des sous-domaines Cloudflare (
trycloudflare.com) - difficiles à bloquer, car Cloudflare est massivement utilisé en entreprise
- et surtout chiffrés de bout en bout, ce qui rend l’inspection réseau complexe.
📬 La chaîne d’infection
La mécanique est bien huilée :
- Phishing mail contenant un fichier
.zipou.lnk(raccourci Windows) - Ce fichier déclenche un loader Python (souvent packé avec
pyinstaller) - Le loader établit un tunnel via
cloudflaredpour récupérer la charge utile - Injection directe en mémoire du malware final (souvent un RAT – Remote Access Trojan)
💥 Résultat : pas d’écriture disque visible, pas de domaine exotique (c’est du Cloudflare), et une persistance souvent via tâches planifiées ou RunOnce.
🐀 Les RATs à bord
Les charges utiles observées incluent :
- Quasar RAT – open-source, mais redoutable
- NetWire
- Et d’autres implants personnalisés, injectés via
ctypesouPE injection
Le tout est encapsulé dans un loader Python, qui peut facilement se faire passer pour un utilitaire légitime… ou tout simplement passer sous les radars d’un antivirus classique.
🧠 Pourquoi c’est malin (et inquiétant)
- Bypass réseau : comme pour Ngrok, Tailscale ou autres, les tunnels contournent les proxy/firewall classiques
- Infrastructure Cloudflare = faux sentiment de sécurité
- Python loaders = multiplateforme, modifiables à volonté, et faciles à dissimuler
- Pas d’exécutable téléversé directement : tout passe par des scripts, injectés ensuite
Bref, c’est l’exemple parfait d’un abuse de service légitime, dans la droite lignée des attaques “Living off the Land” (LotL).
🛡️ Recommandations (aka « Faites pas les marioles »)
🔐 Côté défense :
- Filtrage DNS : bloquez les sous-domaines
trycloudflare.comsi non utilisés en interne - Surveillance de processus : alertez sur les exécutions anormales de
cloudflared.exe,pyinstaller, oupython.exe - Segmentation réseau stricte pour éviter les mouvements latéraux post-infection
- Formation des utilisateurs contre les fichiers
.lnksuspects (toujours d’actualité !)
🕵️ Côté détection :
- Surveillez les connexions sortantes persistantes vers des domaines inconnus mais en
.com - Analysez les journaux d’exécution PowerShell, Python ou script shell
📌 En résumé
SERPENTINE#CLOUD montre encore une fois à quel point les cyberattaquants savent tirer parti d’outils légitimespour masquer leurs intentions. Cloudflare, Python, des fichiers .lnk, rien de neuf en soi. Mais bien orchestrés, ces éléments deviennent des armes redoutables contre les infrastructures trop permissives.
