QuickFox’un Windows yükleyicisine yerleştirilen zararlı kod, en az Ağustos 2025’ten bu yana süren bir tedarik zinciri saldırısında FDMTP adlı arka kapıyı yaymak için kullanıldı. Fortinet FortiGuard Labs’in incelemesine göre kampanya yalnızca Windows kullanıcılarını hedef aldı ve kurulum paketinin trojanize edilmiş bir sürümü üzerinden ilerledi.
FortiGuard Incident Response Team, saldırının değiştirilmiş bir Electron renderer HTML dosyasıyla taşındığını ve bu dosyanın JavaScript tabanlı bir yükleyiciyi indirmek ve çalıştırmak için kullanıldığını bildirdi. Yükleyici çalıştığında önce kurban uç noktayı parmak iziyle tanımlıyor, ardından bunun geçerli bir hedef olup olmadığını kontrol ediyor ve uygun bulursa FDMTP implantını indirip kuruyor.
Fortinet, kötü amaçlı bileşenlerin QuickFox’un Windows kurulum dosyasına iki satırlık JavaScript eklenerek yerleştirildiğini aktardı. Bu kod, tek bir HTML dosyasında iki JavaScript yükünü çalıştırıyor: firebase-app-compat.js ve firebase-analytics-compat.js. İki yük de cdns3.51quickfox[.]cn alanına sahnelendi; bu alan adı, tespitten kaçmak için resmi QuickFox alan adı olan 51quickfox[.]com görünümünü taklit ediyor.
firebase-analytics-compat.js dosyasında meşru Google Firebase kodu bulunurken, firebase-app-compat.js yoğun biçimde gizlenmiş bir yük olarak tanımlandı. Bu dosya Firebase SDK’sını andırsa da, etkilenen uç noktanın Windows çalıştırıp çalıştırmadığını denetliyor, komuta ve kontrol sunucusuyla bağlantı kurup yeniden bulaşma durumunu kontrol ediyor ve tasklist komutunu çalıştırarak çalışan süreçleri listeliyor.
Süreç listesi elde edildikten sonra zararlı kod, özellikle steam.exe sürecinin varlığını arıyor ve bu süreç görülürse çalışmayı durduruyor. Aynı zamanda 26 yerel uygulama, kripto cüzdanı, geliştirici aracı ve kurumsal yazılımdan en az birinin sistemde bulunup bulunmadığını da kontrol ediyor. Listenin içinde Xshell, MobaXterm, Tabby Terminal, Navicat, DBeaver, Git, IntelliJ IDEA, Sublime Text, Notepad++, Microsoft Visual Studio Code, Exodus Wallet, Binance, Ledger Live, Trezor Suite, Telegram, SafeW, Ai Fanyi, Haiwang Chuhai, Yi Fanyi, Kuai Fanyi ve HaiYiTong yer alıyor.
Kurulum dosyasına gömülen iki aşamalı akış
Yalnızca bu iki koşul sağlandığında zararlı yazılım bir sonraki aşamayı indiriyor. Aynı sahte alan adından bu kez bir ZIP arşivi çekiliyor. Fortinet’in tespitine göre ZIP yükünün iki ayrı nesli var.
İlk nesil en az Eylül 2025’ten beri kullanılıyor ve DLL yan yükleme tekniğiyle FDMTP’yi gömen kötü amaçlı bir Client.dll dosyasını çalıştırıyor. İkinci nesil ise Mayıs 2026’dan itibaren görüldü; bu sürüm de DLL yan yükleme kullanıyor ancak şifreli update.bin dosyasını açan bir yükleyici DLL’e dayanıyor. Bu ikinci dosyanın içinde de FDMTP bulunuyor.
QuickFox, sorumlu açıklamadan sonra Windows yükleyicisindeki zararlı bileşenleri 3.59.6 sürümüyle kaldırdı. Değişikliklerin 25 Temmuz ile 13 Ağustos 2025 arasındaki bir dönemde pakete eklendiği, etkilenen en eski sürümün ise 3.0.51.0 olduğu belirtildi.
FDMTP ilk kez Eylül 2024’te Trend Micro tarafından, PUBLOAD adlı indirici üzerinden dağıtılan ikincil bir araç olarak öne çıkarılmıştı. Son sürümde zararlı yazılım önce komuta ve kontrol bağlantısı kurmaya çalışıyor; bağlantı sağlandıktan sonra sunucu GetInfo isteği göndererek cihazdan temel verileri topluyor.
Toplanan bilgiler arasında aktif penceredeki en üst programın başlığı, yüklü antivirüs ürünleri, .NET Framework çalışma zamanı sürümü, ağ ve işletim sistemi bilgileri, mevcut kullanıcı adı ve implantın kendi ayrıntıları yer alıyor. Paket içinde dosyanın tam yolu, sürümü, işlem kimliği ve barındıran sürecin adı da bulunuyor.
Bu veriler dışarı aktarıldıktan sonra komuta ve kontrol sunucusu, çalışan süreçlerin yeniden listelenmesini istiyor. Fortinet, bu adımın ilerideki aşamalarda belirli uç noktaları ayıklamaya yönelik olduğunu bildirdi. Zararlı yazılım ayrıca sunucudan aldığı eklentileri yükleyebiliyor; bu sayede operatörler işlevlerini istedikleri gibi genişletebiliyor.
Darktrace’in yılın başında paylaştığı teknik ayrıntılara göre bazı yükler zamanlanmış görevlerin yönetimini, Registry kalıcılığını ve uzaktan dosya ya da komut çekme işlevlerini sağlıyor. Fortinet, kampanyayı belirli bir tehdit aktörüne doğrudan atfetmedi ancak kullanılan taktiklerde Çin bağlantılı devlet destekli aktör Mustang Panda ile örtüşen noktalar bulunduğunu açıkladı.
Mustang Panda’nın zararlı yazılım dağıtımında DLL yan yükleme tekniklerine sık başvurduğu biliniyor. Fortinet, QuickFox’un ana kullanıcı kitlesinin Çinli uluslararası öğrenciler ve yurt dışındaki Çinliler olması nedeniyle kampanyanın Çin dışında yaşayan Çin vatandaşlarını hedef almış olabileceğini de belirtti.
Şirket ayrıca ikinci bir ihtimali daha aktardı. Buna göre kampanya, Çinli ana dili konuşan kişilerle temas etmesi gereken profesyonelleri, özellikle ticaret ya da diplomatik temaslar nedeniyle hedef almış olabilir. Fortinet, ikinci aşama bulaşmaların kurban bağlamı anlaşılmadan bu iki varsayımın doğrulanamayacağını vurguladı.
QuickFox’un kurulum paketinde yer alan kötü amaçlı kodun, 25 Temmuz ile 13 Ağustos 2025 arasında yükleyiciye eklendiği tespit edildi. Açıklamanın ardından yayımlanan 3.59.6 sürümüyle birlikte kötü amaçlı bileşenler Windows kurulumundan çıkarıldı.
Böylece saldırı zinciri, trojanize edilmiş kurulum dosyasından başlayan, sahte alan adları üzerinden ikinci aşama indiren ve FDMTP implantına uzanan çok aşamalı bir yapı olarak ortaya kondu.