Cato CTRL révèle : le malware Foxveil exploite Cloudflare, Netlify et Discord comme infrastructures d’attaque

Les chercheurs de Cato ont identifié deux variantes distinctes (v1 et v2) de ce loader de première phase, dont la particularité est de récupérer ses charges utiles depuis Cloudflare Pages, Netlify et dans certains cas, via des pièces jointes Discord temporaires.

Un détournement stratégique des plateformes cloud légitimes

"Foxveil" illustre une tendance de fond : les cybercriminels abandonnent les infrastructures manifestement malveillantes au profit de services cloud largement utilisés par les entreprises. En s’appuyant sur des Content Delivery Network (infrastructures distribuées de serveurs) et plateformes reconnues, l’attaque se fond dans le trafic légitime, complique la détection et réduit l’efficacité des blocklists traditionnelles." explique le Dr. Guy Waizel, Tech Evangelist chez Cato Networks, membre de l’équipe de chercheurs Cato CTRL.

Le malware, une fois exécuté :

Établit un point d’ancrage initial dans une infrastructure de staging, qui sert de ressource dans l’étape intermédiaire à une attaque (ici, les domaines Cloudflare Pages, Netlify, Discord, etc..)
Télécharge une charge utile (payload) sous forme de shellcode (souvent généré via Donut) depuis des services cloud de confiance
Exécute ce code en mémoire par injection (selon la variante)
Met en place des mécanismes de persistance spécifiques à chaque variante
Prépare des charges complémentaires destinées à faciliter la post-exploitation

Les chercheurs ont également identifié une routine de mutation de chaînes capable de réécrire des mots-clés d’analyse courants, complexifiant la détection statique et l’ingénierie inverse.

Divulgation responsable par CATO CTRL et neutralisation des infrastructures

Dans le cadre d’une démarche de divulgation responsable, Cato a signalé les URL malveillantes aux plateformes concernées. Netlify a confirmé la suppression des URL signalées le 19 janvier 2026. Cloudflare a indiqué avoir restreint l’accès aux ressources incriminées le 20 janvier 2026. Les liens Discord observés, limités dans le temps, n’étaient plus actifs au moment de l’analyse.

« Cette recherche met en lumière un changement de paradigme pour les équipes de sécurité : la détection ne peut plus reposer uniquement sur la réputation des domaines. L’analyse comportementale, les chaînes d’exécution suspectes et les mécanismes d’injection en mémoire deviennent des indicateurs clés, » détaille Guy Waizel. « La plateforme Cato SASE bloque Foxveil avant l’exécution de la charge utile de seconde phase, interrompant l’attaque dès les premières étapes. »