Foxveil Neuer Malware-Loader tarnt sich in normalem Webverkehr

Anbieter zum Thema

Cato Networks (EU) B.V

FAST LTA GmbH

FTAPI Software GmbH

Onapsis Europe GmbH

Das Sicherheitsteam von Cato Networks hat mit „Foxveil“ einen neuen Mal­ware-Loader entdeckt, der sich im normalen Webverkehr tarnt. Er nutzt vertrauenswürdige Plattformen wie Cloudflare und Discord, um gefährliche Payloads ins System einzuspeisen.

Die Cybersecurity-Experten von Cato CTRL, dem Threat-Research-Team von Cato Networks berichten, einen bisher unbekannten Malware-Loader entdeckt zu haben, den sie „Foxveil“ nennen. Foxveil agiere als initialer Loader. Mit Laden und Ausführen kompromittier er ein Windows-System, sei in der Lage, Analysen zu erschweren und anschließend weitere Payloads nachzuladen. Dabei würde er sogenannte Next-Stage-Payloads über weit verbreitete, in Un­ternehmensumgebungen typischerweise vertrauenswürdige Plattformen beziehen, anstatt über Infrastrukturen, die einem Angreifer klar zugeordent werden könnten. In den von Cato untersuchten Fällen habe Foxveil Cloudflare-Seiten und Netlify, Git basierte Cloud-Plattform zum Hosten, Erstellen und Skalieren von Webprojekten, als Staging-Hosting sowie oftmals auch Discord-Anhänge als Downloadquelle genutzt.

Neue Malware-as-a-Service tarnt sich als RMM-Tool

Malware für 300 Dollar im Monat mieten

So verschafft sich Foxveil Zugriff zum System

Die Infektionskette beginnt den Sicherheitsforschern zufolge meist damit, dass Nutzer eine bösartige EXE- oder DLL-Datei herunterladen und ausführen. Im Anschluss an die Ausführung verbinde sich der Foxveil zunächst mit vom Angreifer kontrollierten Staging-Infrastrukturen. Dafür würden die Akteure typischerweise Cloudflare-Seiten, Netlify-Domains oder Discord-Anhänge nutzen. Von dort lade der Angreifer im nächsten Schritt eine Shellcode-Payload nach, die häufig mit „Donut”, einem Open-Source-Werkzeug, das Shellcode für die Ausführung von Windows-Payloads im Arbeitsspeicher generiert, ohne dabei Daten auf die Festplatte zu schreiben, erzeugt werde. Dann würde er diesen Shellcode ausführen, indem er ihn per Injektion in einen Prozess einschleuse. Die jeweilige Injektionsmethode variiere je nach Variante des Loaders, von der Cato zwei identifiziert habe.

In einem letzten Schritt sorge Foxveil für Persistenz, wobei die Techniken dazu ebenfalls variieren würden. Zusätzlich lege die Malware weitere ausführbare Dateien ab. Diese seien mutmaßlich dafür gedacht, dass sich der Loader dauerhaft auf dem System festsetzen beziehungsweise zusätzliche Aktionen im System durchführen könne.

Analyse von Sysdig

So werden Self-hosted GitHub Actions Runner als Backdoors missbraucht

Missbrauch legitimer Plattformen

Nach Einschätzung der Experten ist die beobachtete Kampagne seit mindestens August 2025 aktiv. Cato habe in mehreren Fällen beobachtet, dass Foxveil zusätzliche Executables von Netlify- oder Cloudflare-Seiten nachlade und sie im Ordner „C:\Windows\SysWOW64\“ spei­chere. Die Dateien seien häufig mit Namen getarnt, die legitime Windows-Prozesse imitieren würden, etwa „sihost.exe“, „taskhostw.exe“ oder „audiodg.exe“. Teilweise seien auch unauffällige Namen wie „real1.exe“ oder „real2.exe“ genutzt worden.

Bemerkenswert sei auch die von Foxveil genutzte Funktion, die die Analyse erschwere. Die Malware ersetze verdächtige Begriffe wie „fox”, „payload”, „inject”, „shellcode”, „beacon” oder „meterpreter” sowie Marker wie „http/https“ und „.exe/.dll“ durch zufällige Werte, um statische Signaturen und Reverse Engineering zu erschweren. Die Analysten vermutet, dass Foxveil als Loader für ein späteres Post-Exploitation-Framework dient. Als mögliche Komponente wird Cobalt Strike genannt.

Die Security-Experten von Cato berichten, die missbrauchte Infrastruktur den Betreibern gemeldet zu haben. Netlify habe am 19. Januar 2026 die Abschaltung der gemeldeten URLs gemeldet und Cloudflare habe am 20. Januar 2026 eine Weiterleitung des Abuse-Reports sowie Zugriffsbeschränkungen gemeldet. Die Discord-Attachment-Links seien zum Analysezeitpunkt schon nicht mehr aktiv gewesen.

Acronis Cyberthreats Update

Web-Bedrohungen legen um 82 Prozent zu

Security-Learning

Cato liefert eine Liste mit Indicators of Compromise. Konkrete Handlungsempfehlungen zum Schutz vor Foxveil bleiben aus. Grundsätzlich sollten Unternehmen eine umfassende Si­cher­heitsstrategie gegen Malware-Loader wie Foxveil entwickeln. Der Einsatz aktueller Anti­viren­pro­gram­me sowie Netzwerksicherheitslösungen wie Firewalls und Intrusion Detection Systems ist unerlässlich, um verdächtige Aktivitäten zu überwachen. Ein effektives Be­nut­zer­zu­griffs­ma­na­ge­ment, Multifaktor-Authentifizierung und Schulungen zur Sensibilisierung der Mitarbeiter für Phishing sind ebenfalls wichtig. Regelmäßige Updates aller Systeme und die Im­ple­men­tier­ung verhaltensbasierter Erkennungssysteme helfen, Sicherheitsanfälligkeiten frühzeitig zu identifizieren. So kann das Risiko von Malware-Loadern erheblich reduziert werden.

GoBruteforcer

Botnetz nutzt schwache Passwörter für Angriffe auf Webserver

(ID:50768297)