Instaladores de QuickFox distribuyeron el implante FDMTP durante meses

FortiGuard Labs analizó una cadena de suministro que afectó a QuickFox, una herramienta VPN y de aceleración utilizada principalmente para acceder a recursos chinos. El instalador de Windows incorporaba un archivo HTML modificado dentro de Electron que descargaba y ejecutaba JavaScript desde un dominio similar al legítimo.

El loader perfilaba el endpoint antes de continuar y seleccionaba objetivos con características corporativas. Cuando el sistema cumplía las condiciones, descargaba una cadena .NET y terminaba instalando FDMTP, un implante diseñado para conservar acceso remoto.

FDMTP se instala mediante carga lateral de DLL, recopila información del host y se comunica con infraestructura de mando y control. El filtrado previo reduce el ruido y sugiere interés por equipos con valor operativo, no una distribución indiscriminada a todos los usuarios.

QuickFox eliminó los componentes descritos a partir de la versión 3.59.6 e inició una investigación. La corrección del instalador detiene la ruta inicial, pero no elimina implantes ya instalados en sistemas comprometidos.