Cuidados al utilizar whitelisting en cloudfront.net
Amazon CloudFront es un servicio de Content Delivery Network (CDN) utilizado legítimamente por miles de empresas para distribuir contenido web de forma rápida y escalable. Este servicio opera bajo el dominio principal cloudfront.net, utilizando subdominios únicos como d123abc456def.cloudfront.net para cada distribución.
Sin embargo, CloudFront también es frecuentemente utilizado por actores maliciosos para alojar y distribuir:
Malware
Campañas de phishing
Payloads de herramientas post-explotación como Cobalt Strike
Esto es posible debido a la facilidad con la que un atacante puede configurar su propia distribución de CloudFront para ocultar su infraestructura maliciosa detrás de un dominio legítimo.
No hacer whitelisting de *.cloudfront.net
Incluir una excepción como *.cloudfront.net en una política RPZ es extremadamente riesgoso. Este tipo de regla permitirá el acceso a todos los subdominios de CloudFront, incluyendo aquellos que se utilizan actualmente en campañas activas de malware.
Esto equivale a desactivar completamente la protección RPZ frente a uno de los vectores de entrega más comunes utilizados por amenazas modernas.
Casos reales de detección de malware en CloudFront
A continuación se listan subdominios de cloudfront.net utilizados en campañas maliciosas recientes. Cada entrada incluye un enlace directo a su análisis en VirusTotal, lo que permite al lector verificar por sí mismo la evidencia.
Fecha |
Subdominio |
Evidencia en VirusTotal |
|---|---|---|
2025-02-12 |
|
|
2025-06-19 |
|
|
2025-06-19 |
|
|
2025-06-27 |
|
|
2025-06-27 |
|
|
2025-07-13 |
|
|
2025-07-13 |
|
|
2025-07-13 |
|
|
2025-07-13 |
|
|
2025-07-15 |
|
Recomendaciones operativas
No aplicar reglas de whitelisting a ``*.cloudfront.net``. Permitir únicamente subdominios específicos, tras verificación manual o por reputación.
Correlacionar subdominios con fuentes de inteligencia, como VirusTotal, ThreatFox o feeds internos.
Monitorear logs de resoluciones DNS en busca de nuevos subdominios bajo
cloudfront.netpara su análisis y eventual inclusión en RPZ.Educar al equipo de seguridad sobre los riesgos de hacer excepciones genéricas a dominios de grandes proveedores como Amazon, Google, Microsoft, etc.
Advertencia
Una sola excepción mal aplicada (como *.cloudfront.net) puede neutralizar completamente la efectividad de un sistema RPZ, permitiendo campañas maliciosas bajo dominios con aparente legitimidad.