Una recente analisi di sicurezza informatica ha portato alla luce un attacco alla supply chain che ha colpito QuickFox, uno strumento VPN e di accelerazione di rete molto usato da utenti cinesi all’estero. Il punto critico non è una vulnerabilità del software in senso classico, ma la distribuzione di un installer Windows trojanizzato capace di introdurre una backdoor chiamata FDMTP.
La campagna risulterebbe attiva almeno da agosto 2025 e avrebbe preso di mira esclusivamente sistemi Windows.
Il meccanismo di infezione parte da una modifica in un file HTML del renderer Electron incluso nel pacchetto di installazione. In pratica, poche righe di JavaScript vengono inserite per scaricare ed eseguire un loader basato su JavaScript. Questo loader non attiva subito il payload finale, ma prima esegue una fase di fingerprinting del dispositivo per capire se la macchina è un bersaglio valido. Solo in caso positivo procede con il download e l’installazione dell’impianto FDMTP.
Per rendere più difficile il rilevamento, il codice malevolo richiama due file JavaScript ospitati su un dominio che imita quello ufficiale del prodotto. Uno dei due file contiene codice legittimo legato a Google Firebase, mentre l’altro è fortemente offuscato e simula un SDK Firebase. Al suo interno sono presenti funzioni per verificare che il sistema operativo sia Windows, contattare un server di comando e controllo per evitare reinfezioni e raccogliere informazioni sui processi in esecuzione tramite il comando tasklist.
La selezione del target è particolarmente interessante. Il loader interrompe l’esecuzione se trova Steam, e prosegue solo se identifica almeno un processo collegato a un elenco di applicazioni specifiche.
Applicazioni e processi ricercati dal loader
- Strumenti di amministrazione e sviluppo: Xshell, MobaXterm, Tabby Terminal, Navicat, DBeaver, Git, IntelliJ IDEA, Sublime Text, Notepad++, Visual Studio Code.
- Wallet e piattaforme crypto: Exodus, Binance, Ledger Live, Trezor Suite.
- Messaggistica e strumenti vari: Telegram, oltre a diverse applicazioni legate a traduzione e attività aziendali.
Superati i controlli, viene scaricato uno ZIP con la fase successiva. Sono state osservate due generazioni del payload, entrambe basate su DLL side loading: la prima carica direttamente una DLL malevola contenente FDMTP, la seconda usa una DLL loader che decifra un file cifrato update bin con dentro la backdoor.
Una volta attiva, FDMTP tenta la connessione al C2, invia informazioni di sistema e può ricevere plugin per estendere le funzionalità, includendo persistenza tramite Registry e gestione di scheduled task. Dopo una segnalazione responsabile, i componenti malevoli sono stati rimossi dall’installer Windows con una versione corretta del software.