Lo staging ospitato su cloud è una tecnica di attacco in cui il malware usa contenuti o servizi cloud pubblici per consegnare payload di fasi successive, file di configurazione, script o altri componenti di supporto. Invece di ospitare ogni file dannoso su un server dedicato, l'attaccante colloca pezzi della catena di infezione in storage cloud, piattaforme di condivisione file, servizi di distribuzione dei contenuti o infrastrutture simili.
Questo è importante perché i servizi cloud sono ampiamente considerati affidabili, altamente disponibili e facili da ruotare. Ciò rende meno efficaci i semplici blocchi di IP o di dominio, soprattutto quando l'attaccante scarica moduli cifrati o cambia rapidamente i link. In attacchi reali, un loader di primo stadio può recuperare il payload successivo dallo storage cloud, mentre i difensori possono vedere solo traffico HTTPS apparentemente normale. Una buona difesa si concentra sul comportamento: genealogia dei processi, download insoliti, gestione degli archivi, modifiche alla persistenza e richieste in uscita verso servizi cloud che non corrispondono all'uso aziendale normale. Controlli cloud, filtro della reputazione e avvisi su schemi di staging sospetti possono ridurre il divario tra accesso iniziale ed esecuzione del payload.