Une nouvelle alerte de cybersécurité met en lumière une attaque de chaîne d’approvisionnement visant QuickFox, un outil VPN et d’accélération réseau utilisé notamment par des utilisateurs chinois à l’étranger. D’après Fortinet FortiGuard Labs, la compromission de l’application ne serait pas un incident isolé : elle serait active depuis au moins août 2025 et passerait par un installateur Windows modifié.
L’objectif technique, décrit dans le cadre d’un incident response, consiste à livrer une backdoor baptisée FDMTP. Cette QuickFox FDMTP backdoor est déployée via un chargeur exécuté depuis l’installateur, puis poursuit l’intrusion en collectant des informations et en s’adaptant à l’environnement infecté.
Une attaque de chaîne d’approvisionnement, côté installateur
Le point clé de la campagne réside dans la façon dont le code malveillant est introduit. Au lieu d’attaquer directement le logiciel une fois installé, les chercheurs décrivent une version trojanisée de l’application.
Selon les informations communiquées par l’équipe d’intervention de Fortinet, la livraison repose sur un fichier HTML de type renderer Electron modifié, utilisé pour télécharger et exécuter un loader basé sur JavaScript. Au lancement, ce loader “vérifie” la cible avant de poursuivre, en identifiant l’hôte et en déterminant si le système correspond à un profil d’intérêt.
Si la vérification échoue, l’exécution s’arrête. Cette logique de filtrage réduit les chances de détection et limite la propagation.
Pourquoi l’attaque vise les utilisateurs Windows
Les éléments rassemblés par les chercheurs indiquent que le scénario d’attaque a été conçu pour les utilisateurs Windows uniquement. Fortinet précise que la campagne n’a pas été observée sur d’autres systèmes dans les informations disponibles.
Cette focalisation rend le correctif d’autant plus important pour les personnes concernées : mettre à jour QuickFox et vérifier la présence d’une version non affectée devient une priorité.
Correctif : suppression des composants malveillants
Après une divulgation responsable, QuickFox a retiré les éléments malveillants de son installateur Windows. La suppression a été intégrée dans la version 3.59.6.
Les chercheurs estiment que les changements ont été inclus entre le 25 juillet et le 13 août 2025. La plus ancienne version identifiée comme potentiellement affectée est 3.0.51.0.
Autrement dit, toute installation effectuée avec une version comprise dans cette période pourrait avoir exposé l’utilisateur à la chaîne de déploiement conduisant à la QuickFox FDMTP backdoor.
Le rôle du domaine “déguisé” pour éviter la détection
Pour charger les étapes suivantes, le code malveillant s’appuie sur une infrastructure Web. Les chercheurs décrivent des ressources hébergées sur un domaine qui imite l’apparence de la cible : cdns3.51quickfox[.]cn.
Le domaine officiel évoqué pour comparaison est 51quickfox[.]com. L’objectif est clair : rendre la détection plus difficile en jouant sur des noms proches et en s’appuyant sur des scripts capables de poursuivre l’infection discrètement.
Deux scripts : un code Firebase “légitime” et un chargeur fortement obfusqué
La compromission introduit dans l’exécutable d’installation des fragments de JavaScript insérés dans un seul fichier HTML. Les analyses montrent que deux charges JavaScript sont ensuite déclenchées : “firebase-app-compat.js” et “firebase-analytics-compat.js”.
Sur le plan fonctionnel, firebase-analytics-compat.js contient du code Firebase provenant d’une source valide. À l’inverse, firebase-app-compat.js se révèle être un payload fortement obfusqué, conçu pour imiter le SDK Firebase tout en réalisant des actions offensives.
Cette combinaison peut compliquer l’analyse : un premier script paraît “normal”, pendant que le second porte l’essentiel de la logique malveillante.
Filtrage des machines : exécuter uniquement quand l’environnement correspond
Le script obfusqué cherche à déterminer si le poste infecté mérite de recevoir la suite de l’attaque. D’abord, il vérifie des caractéristiques et tente d’établir une communication avec un serveur de commande et contrôle.
Ensuite, il exécute la commande tasklist pour obtenir la liste des processus en cours d’exécution. Cette étape sert à repérer des indices : par exemple, le script interrompt l’exécution s’il détecte Steam (steam.exe).
Au-delà de ce premier test, le code compare la liste des processus à un ensemble de noms liés à des logiciels courants, notamment :
- des outils de développement (par exemple Git, IntelliJ IDEA, Visual Studio Code)
- des terminaux et outils pour administrer ou connecter des systèmes (Xshell, MobaXterm, Tabby Terminal)
- des applications liées aux bases de données (Navicat, DBeaver)
- des clients de messagerie (Telegram)
- des portefeuilles et services crypto (Exodus Wallet, Binance, Ledger Live, Trezor Suite)
Les chercheurs mentionnent également d’autres applications listées dans le même cadre, ce qui suggère une logique de ciblage basée sur le contexte professionnel ou technique de la machine.
Déploiement de la suite : générations différentes d’un payload
Quand les conditions sont réunies, le malware télécharge une étape suivante sous la forme d’un fichier ZIP hébergé sur le même domaine précédemment décrit.
Deux générations de payloads ont été observées :
Génération 1 (début au moins en septembre 2025)
Dans cette version, le mécanisme repose sur un side-loading de DLL. Les analyses identifient un fichier Client.dll qui embarque la backdoor FDMTP.
Génération 2 (à partir de mai 2026)
Ici, le side-loading de DLL permet de lancer un autre composant agissant comme chargeur. Il traite ensuite un fichier chiffré, update.bin, qui contient également la QuickFox FDMTP backdoor.
Le fait d’avoir deux générations successives indique une évolution de la campagne, avec des changements dans la manière d’acheminer ou de protéger le code de la backdoor.
FDMTP : collecte d’informations et adaptation après infection
La backdoor FDMTP avait déjà été mise en avant par Trend Micro en septembre 2024, associée à une diffusion via un téléchargeur connu sous le nom PUBLOAD. Dans cette campagne, Fortinet décrit un comportement itératif.
Après l’infection, le composant principal tente d’obtenir une connexion avec le serveur C2. Ensuite, le serveur répond par une requête du type “GetInfo” destinée à extraire des informations de base sur l’appareil et sur ce qui s’y exécute.
Les données récupérées incluent notamment : le titre de la fenêtre active, les programmes antivirus installés, la version du runtime .NET Framework, des informations réseau et système, le nom d’utilisateur courant, ainsi que des détails sur le code implanté (chemin de fichier, numéro de processus, nom du processus d’hébergement).
Après l’exfiltration de ces éléments, le C2 envoie une nouvelle consigne visant à obtenir la liste des processus en cours afin d’affiner le filtrage de certains environnements. Les chercheurs soulignent aussi que la backdoor peut charger des plugins fournis par le serveur, ce qui permet aux opérateurs d’étendre ses capacités.
Persistance, tâches planifiées et récupération à distance
Des payloads documentés par Darktrace dans le courant de l’année suggèrent que certaines fonctionnalités peuvent servir à maintenir l’accès et à piloter le système. Parmi les possibilités décrites figurent :
- la gestion de tâches planifiées
- la persistance via des entrées du Registre
- la récupération à distance de fichiers ou l’exécution de commandes
Ces fonctions renforcent l’idée que la QuickFox FDMTP backdoor n’est pas seulement un implant de reconnaissance, mais un composant capable d’évoluer selon la stratégie de l’attaquant.
Attribution : overlaps avec un acteur chinois, sans certitude formelle
Fortinet indique ne pas avoir attribué la campagne à un acteur précis. Néanmoins, l’équipe reconnaît des recoupements tactiques avec Mustang Panda, un adversaire associé à un acteur étatique chinois et connu pour recourir au DLL side-loading pour déployer des malwares.
Comme QuickFox est principalement utilisé par des étudiants chinois à l’étranger et des expatriés, les chercheurs estiment que la campagne pourrait avoir ciblé des personnes résidant hors de Chine. Une autre hypothèse évoquée concerne un ciblage de professionnels devant interagir avec des interlocuteurs chinois pour des raisons commerciales ou diplomatiques.
Fortinet précise toutefois qu’aucune hypothèse ne peut être confirmée sans compréhension du contexte des intrusions de deuxième étape, autrement dit sans identifier clairement qui était réellement visé.
Ce que les utilisateurs peuvent faire
Si vous utilisez QuickFox, l’action la plus directe est de mettre à jour vers une version corrigée. D’après les informations disponibles, la version 3.59.6 a supprimé les composants malveillants de l’installateur Windows.
En complément, il est prudent de surveiller les signes d’activité inhabituelle sur le poste (processus inattendus, connexions réseau suspectes, tâches ou entrées nouvelles au niveau du système). Bien que l’article ne détaille pas un guide de réponse, la logique de filtrage et la capacité de plugin décrites impliquent que la détection comportementale peut être utile.
Enfin, restez attentif au fait que la chaîne commence au niveau de l’installation. Cela signifie que l’hygiène de version (éviter d’installer des builds obsolètes) est un levier de prévention essentiel.
Conclusion
La campagne décrite par Fortinet illustre comment une attaque de chaîne d’approvisionnement peut compromettre un logiciel en modifiant son installateur plutôt qu’en attaquant directement l’application en cours d’exécution. Dans le cas de QuickFox, l’objectif rapporté est le déploiement de la QuickFox FDMTP backdoor via un loader JavaScript, un filtrage des environnements et un déploiement en plusieurs générations de payloads sur Windows.
La bonne nouvelle, c’est qu’un correctif a été publié : mettez QuickFox à jour vers 3.59.6 afin de réduire le risque lié à ce scénario.
Source: https://thehackernews.com/2026/08/quickfox-supply-chain-attack-delivers.html
