Ein aktueller Befund von Sicherheitsforschern beschreibt einen QuickFox Supply-Chain-Angriff, bei dem eine scheinbar legitime Softwarekette missbraucht wurde. Betroffen war ein VPN- und Netzwerkbeschleunigungs-Tool, das sich vor allem an Nutzer im Ausland richtet. Dabei setzte der Angriff nicht auf klassische Phishing-Mechaniken, sondern auf manipulierte Installationsbestandteile, um Schadcode in den Zielsystemen zu platzieren.
Laut Fortinet FortiGuard Labs läuft die Kampagne mindestens seit August 2025. Die Vorgehensweise zielt auf Windows-Nutzer, indem ein Trojaner in einer angepassten Installer-Komponente eine Backdoor namens FDMTP ausliefert. Nach einer verantwortungsvollen Meldung hat QuickFox entsprechende Schadmodule aus dem Windows-Installer entfernt.
Was ist beim QuickFox Supply-Chain-Angriff passiert?
Im Kern handelt es sich um eine Supply-Chain-Manipulation: Der Schadcode wird über die Installationsroutine der Anwendung eingeschleust. Fortinet schildert, dass der Angriff über eine modifizierte Electron-Renderer-HTML-Datei ausgeliefert wurde. Diese Datei dient dazu, eine JavaScript-basierte Laderoutine nachzuladen und anschließend auszuführen.
Nach dem Start ermittelt der JavaScript-Loader zunächst Eigenschaften des Zielsystems. Ziel ist es, nur passende Endpunkte zu behandeln. Erst wenn der Abgleich positiv ausfällt, lädt die Routine weitere Komponenten herunter und installiert das FDMTP-Implantat.
Die betroffene Komponente wurde nach Angaben der Analysten in der Windows-Installationsvariante gefunden. Hinweise deuten darauf hin, dass ausschließlich Windows als Zielplattform genutzt wurde.
Wie QuickFox die Schadkomponenten wieder entfernt hat
Nach der Veröffentlichung der Hinweise hat QuickFox reagiert und die bösartigen Elemente aus dem Windows-Installer entfernt. Konkret wird Version 3.59.6 als bereinigte Veröffentlichung genannt.
Fortinet ordnet die Änderungen zeitlich ein: Die bereinigten Anpassungen seien zwischen dem 25. Juli und dem 13. August 2025 integriert worden. Als frühe betroffene Version nennt Fortinet 3.0.51.0.
Für Nutzer bedeutet das vor allem: Wer eine ältere QuickFox-Version installiert oder lange nicht aktualisiert hat, könnte noch immer mit einer Installer-Fassung konfrontiert worden sein, die bereits manipulierte Inhalte enthielt.
Manipulation im Installer: JavaScript-Payloads aus einem Verkleidungskonzept
Das von Fortinet beschriebene Schadcode-Pattern ist vergleichsweise präzise: Dem Installer-Exekutable wurden in einer einzelnen HTML-Datei zwei Zeilen JavaScript hinzugefügt. Dadurch startet das System zwei weitere JavaScript-Payloads.
Diese Payloads wurden auf einem Serverbereich abgelegt, der als „offiziell“ wirkende Domain imitieren sollte. Genannt wird dabei ein Host, der sich als QuickFox-ähnliche Domain tarnt (mit einem ähnlichen Namensmuster wie die als „offiziell“ bezeichnete Domain). Dieses Design soll helfen, Erkennung zu umgehen und die Verbindung unauffälliger wirken zu lassen.
Die zwei konkreten Skripte heißen:
- firebase-app-compat.js
- firebase-analytics-compat.js
Während eines der Skripte legitimen Charakter trägt (es nutzt laut Bericht Google Firebase-Code), ist das andere deutlich gefährlicher: firebase-app-compat.js enthält stark obfuskierten Code, der sich als Firebase SDK ausgibt, aber tatsächlich Prüflogik und Ladefunktionen enthält.
Zielsystem-Check: Fingerprinting, Prozesslisten und Abbruchkriterien
Ein wichtiger Schritt im QuickFox Supply-Chain-Angriff ist die Entscheidung, ob ein System überhaupt als Ziel geeignet ist. Der Loader erstellt laut Fortinet ein Profil, unter anderem durch einen Systemabgleich (Fingerprinting) und später durch die Nutzung von Informationen über laufende Prozesse.
Unter anderem wird ein Befehl verwendet, der eine Liste aktuell laufender Prozesse abfragt. Anschließend werden diese Namen auf bestimmte Muster geprüft.
Besonders auffällig: Der Code bricht die Ausführung ab, wenn Steam erkannt wird (genannt wird steam.exe). Zusätzlich prüft das Skript, ob mindestens einer von vielen spezifischen Prozessnamen vorhanden ist. Diese Prozesse werden in Gruppen beschrieben und decken unterschiedliche Anwendungsarten ab, darunter:
- Tools für Kommunikation und Messaging (z. B. Telegram)
- Entwicklungsumgebungen und Editoren (z. B. Git, IntelliJ IDEA, Visual Studio Code, Sublime Text, Notepad++)
- Terminal- und Remote-Tools (z. B. Xshell, MobaXterm, Tabby Terminal)
- Datenbank- und Admin-Tools (z. B. Navicat, DBeaver)
- Wallets und Krypto-Software (z. B. Exodus Wallet, Binance, Ledger Live, Trezor Suite)
- Unternehmens- und weitere spezialisierte Anwendungen
Fortinet nennt mehrere konkrete Namen, die als Abgleichbasis dienen. Erst wenn die Kombination der Bedingungen erfüllt ist, lädt die Routine die nächste Stufe.
Die nächste Stufe: ZIP-Payloads und zwei Generationen
Nach dem erfolgreichen Check lädt der Installer-Schadcode eine weitere Komponente nach. Dabei handelt es sich laut Bericht um ein ZIP-Archiv von derselben beschriebenen Host-Umgebung.
Fortinet unterscheidet dabei zwei identifizierte Generationen der ZIP-Payload:
- Generation 1 (mindestens seit September 2025): nutzt DLL Side-Loading und startet eine bösartige DLL, die FDMTP enthält, genannt wird dabei Client.dll.
- Generation 2 (ab Mai 2026): nutzt ebenfalls DLL Side-Loading, startet aber eine Loader-DLL, die wiederum eine verschlüsselte Datei update.bin lädt. In dieser Datei befindet sich dann das eigentliche FDMTP.
Beide Ansätze verfolgen dasselbe Ziel: die Backdoor durch einen mehrstufigen Ablauf im System zu verankern.
FDMTP: Informationsabfrage und flexible Erweiterung
Die Backdoor FDMTP wurde bereits zuvor untersucht. Trend Micro habe FDMTP im September 2024 als sekundäres Werkzeug beschrieben, das über einen Downloader mit dem Namen PUBLOAD verteilt wurde. In der aktuellen Kampagnenvariante folgt nach Fortinets Angaben jedoch ein klarer Ablauf.
Zunächst versucht die Schadsoftware eine Verbindung zu einem Command-and-Control (C2)-Server aufzubauen. Der Server beantwortet dann offenbar mit einer Anfrage, um Basisinformationen vom Opfer einzusammeln.
Zu den Daten, die laut Bericht erfasst werden, zählen unter anderem:
- der Titel des aktuell im Vordergrund stehenden Fensters
- installierte Antivirenprogramme
- Version des .NET Framework-Laufsystems
- Netzwerk- und Betriebssysteminformationen
- aktueller Benutzername
- Details zum Implantat (z. B. Speicherpfad, Version, Prozess-ID sowie Hosting-Prozessname)
Im nächsten Schritt werden diese Informationen in Richtung C2 exfiltriert. Danach sendet der Server eine weitere Aufgabe: Das Implantat soll laufende Prozesse auflisten, um weitere Filter zu ermöglichen und den Erfolg der Operatoren zu erhöhen.
Darüber hinaus beschreibt Fortinet, dass das Malware-Framework Plugins vom Server laden kann. Dadurch können Betreiber die Funktionalität nachträglich erweitern, ohne die gesamte Schadsoftware jedes Mal neu ausliefern zu müssen.
Perspektiven zu den Zielen: warum Experten von „Kontext“ sprechen
Fortinet führt keine eindeutige Zuordnung zu einem konkreten Akteur durch. Gleichzeitig sieht der Bericht deutliche taktische Überschneidungen mit Mustang Panda, einem chinesischen, staatlich beeinflussten Bedrohungsprofil. Besonders relevant seien Techniken wie DLL Side-Loading, die in diesem Umfeld wiederholt als Einsatzmuster auftauchen.
Da die Hauptzielgruppe von QuickFox häufig mit chinesischen Studierenden und Expats im Ausland in Verbindung gebracht wird, hält Fortinet eine Hypothese für möglich: Die Kampagne könnte Personen adressiert haben, die außerhalb Chinas leben.
Eine zweite Annahme lautet laut Bericht, dass der Fokus auf Berufsbilder zielen könnte, die im Austausch mit chinesischen Muttersprachlern arbeiten—etwa in Handels- oder diplomatischen Kontexten. Fortinet betont jedoch, dass beide Szenarien ohne genaueren Einblick in die Ziele der zweiten Stufe nicht abschließend bestätigt werden können.
Welche Schutzmaßnahmen sind jetzt sinnvoll?
Da der Einstieg über manipulierte Installer erfolgt, ist die wichtigste Maßnahme eine Aktualisierung. Nutzer sollten QuickFox zeitnah auf eine Version setzen, bei der die schädlichen Komponenten entfernt wurden—im Bericht wird 3.59.6 als bereinigt genannt.
Darüber hinaus hilft es, verdächtige Netzwerkverbindungen und Prozesse genauer zu beobachten. Besonders relevant sind Systeme, auf denen Tools aus den genannten Kategorien laufen (z. B. Entwicklungs- und Remote-Umgebungen). Ebenso kann eine Überprüfung der installierten Softwarekomponenten und unerwarteter DLL-Lasten sinnvoll sein.
Wenn ein System möglicherweise bereits kompromittiert wurde, sollten Sicherheitsmaßnahmen in einem abgestimmten Incident-Response-Prozess erfolgen: Logdaten sichern, verdächtige Dateien identifizieren und ggf. forensische Schritte einleiten.
Fazit
Der QuickFox Supply-Chain-Angriff zeigt, wie kompromittierende Aktionen bei der Softwareverteilung aussehen können: Ein trojanisierter Windows-Installer nutzt mehrstufige Ladeprozesse, täuschend ähnlich wirkende Skripte und eine gezielte Prüfung des Zielsystems, bevor FDMTP installiert wird. Positiv: QuickFox hat nach der verantwortungsvollen Meldung reagiert und die Malware-Elemente im Installer entfernt.
Für Nutzer zählt jetzt vor allem eins: aktualisieren, aufmerksam bleiben und bei verdächtigen Anzeichen systematisch prüfen, ob ein kompromittierter Installationspfad oder eine zweite Stufe aktiv war.
Quelle: https://thehackernews.com/2026/08/quickfox-supply-chain-attack-delivers.html
