Вирус через китайский VPN: что случилось с QuickFox?

Исследователи по кибербезопасности обнаружили серьёзную атаку на цепочку поставок, которая затронула популярное в Китае приложение VPN для Windows под названием QuickFox. Согласно отчёту Fortinet’s FortiGuard Labs, злоумышленники на протяжении года модифицировали установщики этого VPN так, чтобы тайно устанавливать вредоносные программы-назадорники на компьютеры пользователей.

Как поясняют эксперты, QuickFox — это VPN-прокси и игровой ускоритель, который в основном используют жители Китая для улучшения доступа к китайским интернет-ресурсам и оптимизации игрового опыта. Злоумышленники изменили внутренний код приложения: они подменили HTML-файл в установщике, чтобы тот незаметно для пользователя скачивал и запускал вредоносный скрипт на языке JavaScript.

Чтобы не привлекать внимание пользователей, вредоносный код скачивался с поддельного домена, стилизованного под настоящий сайт QuickFox. По данным Fortinet, кампания по заражению длилась минимум с августа 2025 года, а вредоносные элементы были удалены только в версии 3.59.6. Независимо подтвердить выводы Fortinet другие источники пока не смогли, представители QuickFox тоже не предоставили комментариев.

Зараженными оказывались не все пользователи скомпрометированного VPN. Вредоносный код умело фильтровал жертвы: если на устройстве был запущен популярный сервис Steam, сигнализирующий о домашнем геймере, процесс заражения прекращался. Но если обнаруживались инструменты разработчиков, IT-специалистов или любителей криптовалют, например Visual Studio Code, Telegram или криптокошельки, атака продолжалась. Это указывает на то, что киберпреступники специально охотились за профессионалами и корпоративными средами — то есть за «дорогими» целями, а не за массовым игровым населением.

Если жертва подходила по параметрам, вредоносный скрипт использовал легитимный инструмент компании Microsoft, чтобы незаметно установить модуль FDMTP и внедрить вредоносное ПО. Этот стойкий назадорник позволял злоумышленникам собирать чувствительную информацию о системе: IP-адреса, запущенные процессы, MAC-адреса, имена пользователей. За счёт модульной структуры FDMTP хакеры могли по желанию загружать и запускать новые вредоносные плагины — обеспечивая себе долгосрочный контроль над системой.

В инфекционном процессе участвовали только компьютеры с Windows. Модифицированный файл обнаружили и в macOS-версиях, но активное заражение происходило только на Windows. Android- и iOS-приложения QuickFox остались нетронутыми и безопасными.

Кто стоит за атакой, Fortinet сказать не может, но эксперты заметили много схожего в методах с известной группой Twill Typhoon. Хорошая новость — на данный момент угроза локализована: QuickFox после уведомления от специалистов подчистил вредоносный код, начиная с версии Windows-инсталлятора 3.59.6.

Пользователям, которые запускали QuickFox на Windows за последний год, настоятельно рекомендуется немедленно обновить приложение до самой свежей версии и удостовериться в чистоте ПК при помощи антивируса. Организациям стоит проверить свою сеть: не зафиксированы ли подозрительные передачи данных с компьютеров с установленным QuickFox.