Las empresas de ciberseguridad, eSentire y Proofpoint, han advertido sobre un notable incremento en el uso malicioso del servicio gratuito TryCloudflare para la entrega de malware. Este servicio se utiliza para crear túneles de velocidad limitada que permiten a los atacantes retransmitir tráfico desde un servidor controlado hacia una máquina local a través de la infraestructura de Cloudflare.

El Servicio Gratis de TryCloudflare

TryCloudflare es una herramienta para experimentar con los túneles de Cloudflare, permite publicar un servicio sin necesidad de abrir puertos localmente en un servidor, esto con fines de prueba o testing, TryCloudflare inicia un proceso que genera un subdominio aleatorio en *.trycloudflare.com lo apunta a tu servicio local y este queda accesible inmediatamente a internet. Las solicitudes a ese subdominio serán a través del proxy de la red de Cloudflare, por lo tanto, la dirección IP real del servidor quedará oculta o enmascarada.

Según la misma documentación de Cloudflare, indican que es un servicio para que más usuarios experimenten las mejoras de velocidad y seguridad de Cloudflare Tunnel (y Argo Smart Routing) con la finalidad que puedan decidirse por un plan de Cloudflare Zero Trust con Cloudflared e implementarlo en Producción.

Abuso de TryCloudflare para la Entrega de Malware

El método se hizo popular en el año 2023, los atacantes abusan del servicio TryCloudflare para el uso de WebDAV y SMB, facilitando transferencias de archivos y conexiones con servidores de comando y control (C2). Esta técnica permite a los ciberdelincuentes utilizar túneles temporales para escalar sus operaciones y evadir la detección.

En la mayoría de las campañas de Malware los mensajes contienen una URL o un archivo adjunto que conduce a un acceso directo de Internet (. URL). Cuando se ejecuta, establece una conexión con un recurso compartido de archivos externo, normalmente a través de WebDAV, para descargar un archivo LNK o VBS. Cuando se ejecuta, el LNK/VBS ejecuta un archivo BAT o CMD que descarga un paquete de instalación de Python y una serie de scripts de Python que conducen a la instalación de malware. En algunos casos, la preparación de archivos aprovecha la función búsqueda-ms controlador de protocolo para recuperar el LNK de un recurso compartido WebDAV. Normalmente, en las campañas, se muestra al usuario un PDF benigno para que parezca legítimo.