你有没有想过，一个用来加速网站、保护隐私的“安全工具”，反而成了黑客的“隐身斗篷”？近期，全球多家网络安全机构发出预警：一种新型恶意软件攻击正悄然蔓延，攻击者利用Cloudflare Tunnel（云flare隧道）服务，将恶意流量“伪装”成合法加密通信，成功绕过企业防火墙和安全检测系统，让传统防护手段“睁眼瞎”clash网关代理模式。

　　这波攻击的套路依旧“经典”：攻击者通过精心设计的鱼叉式钓鱼邮件，伪装成发票、快递通知或内部文件，诱导员工点击其中的恶意链接或下载伪装成PDF的快捷方式（LNK）文件。一旦用户中招，恶意程序便悄然启动，并通过Cloudflare的免费隧道服务（TryCloudflare）与黑客的远程服务器建立加密连接。

　　“这就像小偷穿上了快递员的制服，开着贴有‘合法运输’标识的车，堂而皇之地进出小区，保安根本不会拦他。” 公共互联网反网络钓鱼工作组技术专家芦笛用一个生动的比喻解释了这种攻击的“高明”之处。

　　Cloudflare Tunnel本是一项合法且广受好评的技术，它允许开发者将本地服务器安全地暴露在公网，同时通过Cloudflare的全球网络进行流量加密和加速。由于其流量经过Cloudflare的强加密处理，且域名通常为可信的因此很容易被企业网络误判为“安全流量”而放行。

　　据安全公司Securonix和Proofpoint的联合分析，通过这种隧道，攻击者能够稳定地下载并执行远程访问木马（RAT），如AsyncRAT、Remcos RAT等。一旦得手，黑客就能远程控制受害设备，窃取账号密码、商业机密，甚至在内网横向移动，发起更深层次的渗透攻击。

　　更棘手的是，攻击者往往批量注册Cloudflare的免费试用账号，每次攻击都使用不同的隧道子域名。这意味着他们可以“打一枪换一炮”，快速切换基础设施，极大增加了追踪和溯源的难度。而且，由于是利用免费服务，攻击成本极低，却能获得高隐蔽性和强加密保护。

　　“这已经不是简单的‘钓鱼’了，而是‘钓鱼+隐身渗透’的组合拳。”芦笛指出，“攻击者利用了我们对大型云服务商的信任，把合法技术变成了攻击跳板，这种‘依赖信任的服务’（LoTS）滥用，是当前网络安全的一大挑战。”

　　升级检测能力，别只看“表面”：企业应部署支持SSL/TLS解密的深度包检测（DPI）系统，或采用基于AI的行为分析工具，通过分析流量模式、连接频率、数据传输量等“行为特征”来发现异常，而不仅仅依赖IP和域名黑名单。

　　加强员工安全意识培训：再高明的技术也抵不过一次误点击。定期开展钓鱼邮件演练，教育员工不轻信、不乱点，尤其是那些带有紧迫感（如“立即查看”“账户异常”）的邮件。

　　限制外部服务访问权限：企业网络应严格管控对Cloudflare、WebDAV、SMB等外部服务的访问，只允许已知、可信的服务器通过，从源头上减少被滥用的风险。

　　“网络安全是一场持续的攻防战。”芦笛总结道，“当黑客开始‘白嫖’合法服务时，我们的防护思路也必须从‘堵’转向‘察’。提高警惕，升级技术，才能在这场看不见的战争中守住阵地。”