Siber güvenlik araştırmacıları, denizaşırı Çinli kullanıcılar için tasarlanmış bir VPN ve ağ hızlandırma aracı olan QuickFox'a yönelik 'uzun süredir devam eden bir tedarik zinciri saldırısı'nı ortaya çıkardı.
Fortinet FortiGuard Labs'ın açıklamasına göre, bu tedarik zinciri saldırısı en az Ağustos 2025'ten bu yana devam ediyor. Saldırıda, uygulamanın kötü amaçlı bir sürümü kullanılarak, Çin devlet destekli bir tehdit aktörü olan Mustang Panda tarafından kullanılan FDMTP arka kapısı hedef sistemlere bulaştırılıyor.
FortiGuard Olay Müdahale Ekibi, saldırının, JavaScript tabanlı bir yükleyiciyi indirip çalıştırmak için değiştirilmiş bir Electron işleyici HTML dosyası aracılığıyla gerçekleştirildiğini belirtti. Çalıştırıldığında, JavaScript yükleyicisi, hedef sistemin geçerli bir hedef olup olmadığını belirlemek için parmak izini alıyor ve ardından FDMTP implantını indirip kuruyor.
Sorumlu bir şekilde ifşa edilmesinin ardından QuickFox, 3.59.6 sürümünü yayınlayarak Windows yükleyicisindeki kötü amaçlı bileşenleri kaldırdı. Değişikliklerin 25 Temmuz ile 13 Ağustos 2025 tarihleri arasında eklendiği ve etkilenen en eski sürümün 3.0.51.0 olduğu belirtiliyor. Kanıtlar, kampanyanın yalnızca Windows kullanıcılarını hedef aldığını gösteriyor.
Yükleyici çalıştırılabilir dosyasına eklenen kötü amaçlı kod, tek bir HTML dosyasında iki satır JavaScript'ten oluşuyor. Bu kod, 'cdns3.51quickfox[.]cn' adresinde barındırılan 'firebase-app-compat.js' ve 'firebase-analytics-compat.js' adlı iki JavaScript yükünü çalıştırıyor. Bu alan adı, tespit edilmekten kaçınmak için resmi QuickFox alan adı '51quickfox[.]com' gibi görünüyor.
İki yükten 'firebase-analytics-compat.js' meşru Google Firebase kodu içerirken, 'firebase-app-compat.js' ise Firebase SDK'sını taklit eden ancak oldukça gizlenmiş bir yük. Bu yük, etkilenen sistemin Windows çalıştırıp çalıştırmadığını belirleme, bir komuta ve kontrol (C2) sunucusuyla iletişime geçerek sistemin yeniden enfekte edilmediğini kontrol etme ve o anda çalışan işlemlerin bir listesini almak için 'tasklist' komutunu çalıştırma işlevlerini barındırıyor.
