В Азии злоумышленники внедрили бэкдор FDMTP в QuickFox
218 просмотровИсследователи FortiGuard Labs раскрыли многомесячную атаку на QuickFox — VPN-сервис и ускоритель сетевого доступа, которым пользуются преимущественно китайские пользователи за рубежом. Злоумышленники модифицировали установщики приложения для Windows и распространяли через них бэкдор FDMTP. Кампания продолжалась как минимум с августа 2025 года.
В заражённую версию QuickFox добавили две строки JavaScript в HTML-файл Electron-приложения. Код загружал скрипты с домена cdns3.51quickfox.cn, который имитировал официальную инфраструктуру 51quickfox.com. Один из файлов содержал легитимный код Google Firebase, второй оказался замаскированным и обфусцированным загрузчиком.
Загрузчик проверял, работает ли система под управлением Windows, и анализировал запущенные процессы. Он прекращал выполнение при обнаружении Steam, но продолжал атаку, если находил приложения для удалённого администрирования, разработки, работы с базами данных, криптовалютными кошельками, переводами и корпоративными коммуникациями. Такой механизм позволял отбирать потенциально интересующие системы.
После проверки скрипт скачивал архив update.zip и запускал полезную нагрузку через технику DLL side-loading. FortiGuard Labs выявила два поколения цепочки заражения. Вариант, наблюдавшийся как минимум с сентября 2025 года, содержал FDMTP внутри поддельной библиотеки Microsoft.ServiceHosting.Tools.dll. С мая 2026 года применялся загрузчик, который расшифровывал AES-128-ECB файл update.bin с имплантом.
FDMTP устанавливал соединение с командными серверами и передавал сведения об устройстве: заголовок активного окна, антивирус, версию.NET Framework, сетевые параметры, данные об операционной системе, имя пользователя и характеристики самого импланта. Затем сервер мог запрашивать список процессов и загружать дополнительные плагины. Среди выявленных функций — работа с файлами, управление реестром, создание заданий планировщика и удалённое выполнение команд.
Fortinet уведомила разработчиков QuickFox в рамках ответственного раскрытия. После этого вредоносные компоненты удалили из установщика Windows версии 3.59.6. Исследователи считают, что атака была ориентирована именно на Windows: защитные проверки ограничивали запуск начальных этапов на других платформах.
FortiGuard Labs не связала кампанию с конкретной группировкой. При этом исследователи отметили совпадения с методами Mustang Panda — китайской группировки, которая ранее применяла DLL side-loading и FDMTP. Версия о целенаправленной атаке на китайских граждан за пределами КНР остаётся неподтверждённой. Другой вариант предполагает интерес к специалистам, работающим с китайскими компаниями, однако данных о конечных целях вторжений пока недостаточно.
Другие новости
#азия
Министерство культуры Казахстана сообщило о смерти Ардака Амиркулова — автора «Гибели Отрара» и «Прощай, Гульсары!» и наставника кинематографистов.
#азия
В пяти районах и жилых массивах Бишкека с 5 по 7 августа приостановили подачу природного газа из-за работ на подземном газопроводе.
#азия
Дефицит бензина, сбои транспорта и угрозы безопасности заставляют россиян менять маршруты, а отельеров снижать цены и возвращать предоплаты.
#мир
Пхеньян назвал японские испытания «Томагавка» угрозой и допустил новые военные шаги на фоне укрепления связей Токио с США и Сеулом.
#мир
Пожар Брэдли-Крик за несколько дней уничтожил около 230 домов в общине оканаган и вынудил тысячи жителей покинуть свои дома.
#азия
В Китае женщины публично требуют от мужчин тушить сигареты. Конфликты в ресторанах и на остановках показывают разрыв между запретами и их исполнением.
#азия
Превышение скорости стало главным фактором аварий в Казахстане, однако за первое полугодие 2026 года ДТП на республиканских трассах стало меньше.
#азия
Жильцы ЖК «Баскару-4» в Астане не могут оформить право собственности. В материале — нарушения, судебные разбирательства, земельный спор и история застройщика.
#азия
Узбекистан в июне и июле вернул из Турции и Польши двух граждан, которых разыскивали по делам о мошенничестве.
#азия
Девушка получила тяжелые ножевые ранения в супермаркете Никосии 3 августа. МИД Кыргызстана сообщил о проведенной операции и помощи родственникам.
#азия
Алексей Марущенко признал вину по делу об убийстве, пытках, похищении военкора и вымогательстве денег у бойцов.
#мир
Спасатели извлекли из-под завалов останки жителей района Сабра, погибших почти три года назад; 157 человек всё ещё числятся пропавшими.
#мир
Доха заявила о посредничестве между Вашингтоном и Тегераном, пока судно получило повреждения от неизвестного снаряда у берегов Омана.
#азия
В зоопарке Тама под Токио три львицы погибли в течение нескольких дней. Ветеринары связывают смерть животных с тепловым ударом и отказом органов.
#технологии
Фишинговый сервис за 289 долларов в месяц объединил кражу токенов, обход MFA и атаки на Microsoft 365, iCloud, Yahoo и Google Workspace.
#азия
Списки обладателей государственных грантов в Казахстане опубликуют до 10 августа. В конкурсе участвуют около 127 тысяч абитуриентов.
#азия
В Яккасарайском районе Ташкента дом снесли до завершения выселения жильцов на участке Newport. Правоохранители начали расследование обстоятельств.
#мир
34-летний бразильский боец UFC Аллан Насименту умер во сне после предполагаемого сердечного приступа спустя шесть недель после последнего боя.
#азия
В Ферганской области водитель в состоянии опьянения сбил инспектора ДПС. Сотрудник погиб, по факту аварии начато расследование.
#азия
Два села с населением около 2,5 тысячи человек перешли под юрисдикцию Кыргызстана в обмен на равные по площади приграничные земли.