Un virus a través de una VPN china: ¿qué ha pasado con QuickFox?
Investigadores de ciberseguridad han descubierto un grave ataque a la cadena de suministro que afectó a QuickFox, una popular aplicación VPN para Windows en China. Según un informe de FortiGuard Labs, de Fortinet, durante un año los atacantes modificaron los instaladores de esta VPN para instalar a escondidas malware en los ordenadores de los usuarios.
Según explican los expertos, QuickFox es un proxy VPN y acelerador de juegos que utilizan sobre todo los residentes de China para mejorar el acceso a los recursos chinos de Internet y optimizar su experiencia de juego. Los atacantes alteraron el código interno de la aplicación: sustituyeron un archivo HTML del instalador para que descargara y ejecutara en secreto un script malicioso escrito en JavaScript.
Para no llamar la atención de los usuarios, el código malicioso se descargaba de un dominio falso diseñado para parecerse al sitio web oficial de QuickFox. Según Fortinet, la campaña de infección llevaba activa al menos desde agosto de 2025 y los componentes maliciosos solo se eliminaron en la versión 3.59.6. Por ahora, ninguna otra fuente ha podido confirmar de forma independiente las conclusiones de Fortinet, y los representantes de QuickFox tampoco han hecho comentarios.
No todos los usuarios de la VPN comprometida acababan infectados. El código malicioso filtraba hábilmente a las víctimas: si en el dispositivo estaba abierto Steam, señal de que su dueño era un jugador doméstico, el proceso de infección se detenía. Pero si encontraba herramientas para desarrolladores, profesionales de TI o aficionados a las criptomonedas, como Visual Studio Code, Telegram o monederos de criptomonedas, el ataque seguía adelante. Esto apunta a que los ciberdelincuentes buscaban deliberadamente a profesionales y entornos corporativos, es decir, objetivos «de alto valor» y no al grueso de los jugadores.
Si la víctima cumplía los requisitos, el script malicioso usaba una herramienta legítima de Microsoft para instalar a escondidas el módulo FDMTP e introducir el malware. Este backdoor persistente permitía a los atacantes recopilar información sensible del sistema: direcciones IP, procesos en ejecución, direcciones MAC y nombres de usuario. Gracias a la estructura modular de FDMTP, los hackers podían cargar y ejecutar nuevos complementos maliciosos cuando quisieran, asegurándose así un control prolongado del sistema.
Solo participaron en el proceso de infección ordenadores con Windows. También se encontró el archivo modificado en las versiones para macOS, pero la infección activa solo se producía en Windows. Las aplicaciones de QuickFox para Android e iOS no se vieron afectadas y siguen siendo seguras.
Fortinet no puede decir quién está detrás del ataque, pero sus expertos observaron muchas similitudes entre los métodos empleados y los de un grupo conocido, Twill Typhoon. La buena noticia es que, por ahora, la amenaza está contenida: tras recibir el aviso de los especialistas, QuickFox eliminó el código malicioso de su instalador de Windows a partir de la versión 3.59.6.
Se recomienda encarecidamente a quienes hayan utilizado QuickFox en Windows durante el último año que actualicen de inmediato la aplicación a la versión más reciente y comprueben con un antivirus que su PC está limpio. Las organizaciones deberían revisar su red para comprobar si se han registrado transmisiones de datos sospechosas desde ordenadores con QuickFox instalado.
PEREC.RU
En el mercado de las VPN ha pasado lo que cabía esperar: la popular QuickFox china se ha visto envuelta hasta el cuello en un escándalo por la introducción de malware en su instalador. La cautela de sus desarrolladores resultó ser papel mojado: durante un año, el instalador llevó escondido un señuelo HTML que descargaba el bicho por orden de un dominio falso. El detalle más jugoso: el malware no iba a por principiantes, sino a por expertos informáticos y aficionados a las criptomonedas. A los jugadores de andar por casa los filtraban por tener Steam instalado, como si dijeran: «Solo castigaremos las faltas graves». Todo un espectáculo con Microsoft de cómplice silencioso: se usó una herramienta oficial para instalar un juguete modular con el que espiar durante largo tiempo.
Lo más paranoico puede respirar tranquilo: solo se vieron afectados los equipos con Windows; las versiones para móviles y Mac apenas sufrieron daños. ¿Quién fue el culpable? Los expertos señalan a los depredadores habituales: Twill Typhoon. ¿Qué debe hacer un usuario de bien? Actualizarlo todo de una puñetera vez y rezar para que la próxima VPN gratuita no resulte ser un «agente doble». Un artículo útil para quienes aún creen que solo hay queso gratis en las ratoneras: el acceso a Internet chino tampoco sale gratis, sea cual sea el precio que ponga la aplicación.
