Aanvallers gebruiken steeds vaker vertrouwde cloud- en SaaS-platforms om kwaadaardige activiteiten te verbergen en detectie te omzeilen.
Aanvallers maken in toenemende mate misbruik van vertrouwde SaaS-platforms, cloudinfrastructuur en identity-systemen om kwaadaardige activiteiten te vermommen als legitiem bedrijfsverkeer. Command-and-control (C2) communicatie wordt via hoog aangeschreven diensten zoals OpenAI en AWS gestuurd, waardoor het verkeer lijkt op normaal zakelijk gebruik en traditionele blokkadelijsten worden omzeild.
Deze verschuiving van ‘living off the land’ naar ‘living off the cloud’ weerspiegelt de aanpassing van aanvallers aan de migratie van IT-infrastructuur naar hybride en cloudomgevingen zoals AWS, Azure en Google Cloud. In plaats van lokale tools zoals PowerShell of WMI te misbruiken om detectie te vermijden, gebruiken zij nu native cloudbeheerhulpmiddelen, API’s, identity-systemen en managementconsoles om via legitieme functionaliteit te opereren. Omdat cloudomgevingen API-gedreven zijn, kunnen aanvallers met geldige credentials of tokens resources inventariseren, data exfiltreren, privileges escaleren en persistentie behouden via routinematige administratieve calls.
Het hacken van cloudgebaseerde systemen omzeilt traditionele verdedigingsmechanismen die sterk leunen op domeinreputatie en statische blokkadelijsten. Het uitvoeren van aanvalsinfrastructuur vanuit de cloud maakt aanvallen bovendien eenvoudiger. Aanvallers gebruiken steeds vaker legitieme cloudservices als onderdeel van hun infrastructuur, waarbij zij verkeer via vertrouwde platforms zoals cloudopslag, samenwerkingshulpmiddelen of AI-API’s leiden. Dit verkeer lijkt voor beveiligingstools op routinematig verkeer naar een gerenommeerde provider.
Een voorbeeld is de recente verstoring door Google en Mandiant van een vermoedelijke Chinese cyber-spionageoperatie (UNC2814) die legitieme Google Sheets-functionaliteit misbruikte om detectie te ontwijken. De Gridtide-malware gebruikte een door de aanvaller beheerde Google-spreadsheet als een live C2-database, waarbij een Service Account-token werd gebruikt om specifieke cellen te raadplegen voor instructies en resultaten terug te schrijven in aangrenzende kolommen. Dit illustreert de trend waarbij aanvallers SaaS-platforms misbruiken als alternatief voor eigen infrastructuur.
Daarnaast wordt C2-verkeer verborgen in vertrouwde API’s. Zo leidt de SesameOp-backdoor verkeer via OpenAI’s Assistants API, waardoor C2-communicatie lijkt op legitieme AI-ontwikkelactiviteiten. Dit maakt het voor beveiligingstools moeilijk om het verkeer te blokkeren zonder echte workflows te verstoren. Malware zoals VEILDrive en kwaadaardige varianten van het Havoc Framework misbruiken de Microsoft Graph API om opdrachten te lezen en resultaten te schrijven in SharePoint- of OneDrive-omgevingen, waarbij de data lijkt op persoonlijke back-ups.
Aanvallers richten zich ook op OAuth-tokens, service-accounts en cloud-API’s om zich door enterprise-omgevingen te bewegen zonder op te vallen. Door gebruik te maken van legitieme cloudfunctionaliteit kunnen zij hun activiteiten verbergen binnen normaal uitziend netwerkverkeer, wat traditionele detectiemethoden bemoeilijkt.
