Pesquisadores de cibersegurança revelaram o que foi descrito como um “ataque de supply chain de longa duração” contra o QuickFox, uma ferramenta de VPN e aceleração de rede criada para usuários chineses no exterior.
Segundo a Fortinet FortiGuard Labs, o ataque ocorre desde pelo menos agosto de 2025 e envolve uma versão trojanizada do aplicativo para distribuir o FDMTP, um backdoor já associado a um threat actor patrocinado pelo Estado chinês e monitorado como Mustang Panda.
“O ataque é entregue por meio de um arquivo HTML modificado do renderizador Electron, usado para baixar e executar um loader baseado em JavaScript”, informou a equipe de Resposta a Incidentes da FortiGuard.
“Após a execução, o loader em JavaScript faz a impressão digital do endpoint da vítima para verificar se ele é um alvo válido antes de baixar e instalar um implant do FDMTP.”
Após a divulgação responsável, o QuickFox removeu os componentes maliciosos do instalador para Windows com o lançamento da versão 3.59.6.
As mudanças teriam sido incluídas em algum momento entre 25 de julho e 13 de agosto de 2025, e a versão 3.0.51.0 aparece como a mais antiga afetada.
As evidências indicam que a campanha mirou exclusivamente usuários de Windows.
O código malicioso inserido no executável do instalador envolve duas linhas de JavaScript em um único arquivo HTML, fazendo com que ele execute dois payloads em JavaScript, “firebase-app-compat.js” e “firebase-analytics-compat.js”, hospedados em “cdns3.51quickfox[.]cn”, domínio que se passa pelo endereço oficial do QuickFox, “51quickfox[.]com”, para evitar detecção.
Dos dois payloads, “firebase-analytics-compat.js” contém código legítimo do Google Firebase, enquanto “firebase-app-compat.js” é um payload fortemente ofuscado que imita o SDK do Firebase, mas inclui funções para verificar se o endpoint afetado executa Windows, consultar um servidor de command and control (C2) para garantir que o endpoint não foi reinfectado e executar o comando “tasklist” para obter uma lista dos processos em execução.
Essa lista é então analisada em busca de nomes específicos de processos, em especial Steam (“steam.exe”), e a execução é interrompida se ele estiver presente.
O código também verifica se existe ao menos um processo correspondente a 26 aplicativos domésticos, carteiras de criptomoedas, ferramentas de desenvolvimento e softwares corporativos.
Entre eles estão Xshell, MobaXterm, Tabby Terminal, Navicat, DBeaver, Git, IntelliJ IDEA, Sublime Text, Notepad++, Microsoft Visual Studio Code, Exodus Wallet, Binance, Ledger Live, Trezor Suite, Telegram, SafeW, Ai Fanyi, Haiwang Chuhai, Yi Fanyi, Kuai Fanyi e HaiYiTong.
Quando as duas condições são atendidas, o script passa a baixar o payload da próxima etapa, um arquivo ZIP hospedado no mesmo domínio citado anteriormente.
Duas gerações diferentes desse payload ZIP foram identificadas.
A primeira geração, disponível desde pelo menos setembro de 2025, usa DLL side-loading para iniciar uma DLL maliciosa que incorpora o FDMTP (“Client.dll”).
A segunda geração, disponível desde maio de 2026, também usa DLL side-loading para carregar uma DLL maliciosa que atua como loader de um arquivo criptografado (“update.bin”) contendo o FDMTP.
O FDMTP foi destacado pela Trend Micro em setembro de 2024 como uma ferramenta secundária distribuída por meio de um downloader conhecido como PUBLOAD.
Na iteração mais recente, ele primeiro tenta estabelecer uma conexão C2 e, em seguida, o servidor responde com uma solicitação “GetInfo” para coletar informações básicas do dispositivo da vítima.
Os dados coletados incluem o título da janela do programa ativo em primeiro plano, os programas antivírus instalados, a versão do runtime do .NET Framework, informações de rede e do sistema operacional, o nome de usuário atual e detalhes sobre o próprio implant, como caminho completo do arquivo, versão, ID do processo e nome do processo hospedeiro.
Depois de reunir e exfiltrar essas informações, o servidor C2 envia uma solicitação para listar os processos em execução, em mais uma tentativa de filtrar determinados endpoints de acordo com os objetivos do threat actor.
Além disso, o malware é responsável por carregar plugins recebidos do servidor, permitindo que os operadores ampliem sua funcionalidade a qualquer momento.
Alguns dos payloads, conforme detalhou a Darktrace no início deste ano, facilitam o gerenciamento de tarefas agendadas, monitoram a persistência no Registro e buscam arquivos ou comandos remotamente.
Embora a Fortinet não tenha atribuído a campanha a um threat actor específico, a empresa reconheceu semelhanças táticas com o Mustang Panda, um adversário ligado ao Estado chinês e conhecido por usar técnicas de DLL side-loading para implantar malware.
Como a base principal de usuários do QuickFox é formada por estudantes chineses no exterior e expatriados, há a suspeita de que a campanha tenha mirado cidadãos chineses que vivem fora da China.
“Uma hipótese concorrente é que essa campanha tenha como alvo profissionais que precisam interagir com falantes nativos de chinês, possivelmente por motivos comerciais ou diplomáticos”, disse a Fortinet.
“Nenhuma das hipóteses pode ser confirmada sem entender o contexto das vítimas nas intrusões da segunda etapa, o que identificaria os verdadeiros alvos da campanha.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...