Descubierto un ataque persistente contra usuarios de la herramienta VPN QuickFox
Investigadores de ciberseguridad han revelado un sofisticado ataque a la cadena de suministro que ha afectado a QuickFox, una popular herramienta de aceleración de red y VPN. Este incidente, que ha estado activo desde al menos agosto de 2025, destaca la creciente vulnerabilidad de los canales de distribución de software legítimo.
Según el informe de Fortinet FortiGuard Labs, los atacantes lograron comprometer el instalador oficial de QuickFox para Windows, insertando un código malicioso diseñado para desplegar un backdoor (puerta trasera) conocido como FDMTP.
Análisis técnico: ¿Cómo operaba el ataque?
El ataque se ejecutaba a través de un archivo HTML de renderizado de Electron modificado dentro del instalador. Al iniciarse, este activaba un cargador basado en JavaScript que realizaba un fingerprinting (identificación de huella digital) del sistema de la víctima. Este proceso de reconocimiento permitía a los atacantes determinar si el equipo era un objetivo de interés antes de proceder con la infección final.
Un aspecto notable de este ataque es su capacidad de evasión. El cargador verificaba la lista de procesos en ejecución buscando aplicaciones específicas, como:
- Herramientas de desarrollo (VS Code, IntelliJ IDEA, Sublime Text).
- Carteras de criptomonedas (Binance, Exodus, Ledger Live).
- Software de administración de sistemas (Xshell, Navicat).
Si el sistema cumplía con los criterios de los atacantes, se procedía a la descarga del implante FDMTP mediante una técnica denominada DLL Side-loading, un método común para ejecutar código malicioso bajo la apariencia de procesos legítimos del sistema.
Atribución y objetivos
Aunque la atribución definitiva en ciberseguridad es compleja, los investigadores han identificado solapamientos tácticos con Mustang Panda, un grupo de amenazas persistentes avanzadas (APT) vinculado a intereses estatales chinos. Dado que QuickFox es utilizado principalmente por ciudadanos chinos en el extranjero y estudiantes internacionales, se sospecha que la campaña tenía como objetivo el espionaje de perfiles específicos o profesionales con vínculos comerciales y diplomáticos.
Recomendaciones para las empresas
Este incidente subraya que incluso el software que consideramos «seguro» puede ser un vector de entrada si su cadena de suministro se ve comprometida. Desde Intedya, recomendamos a las organizaciones:
- Actualización inmediata: QuickFox ya ha corregido la vulnerabilidad en su versión 3.59.6. Es crítico que cualquier usuario de esta herramienta actualice a la última versión disponible.
- Control de aplicaciones: Implementar políticas de control de ejecución para evitar que instaladores no verificados realicen cambios en el sistema.
- Monitoreo de red: Vigilar conexiones hacia dominios inusuales que intenten suplantar servicios legítimos (como el uso de dominios .cn falsos en este caso).
- Auditoría de proveedores: Evaluar la postura de seguridad de las herramientas de terceros integradas en la infraestructura corporativa.
La seguridad de la cadena de suministro es hoy uno de los pilares fundamentales de la resiliencia ciberorganizacional. Mantenerse informado y contar con protocolos de respuesta ante incidentes es la mejor defensa frente a actores de amenazas altamente capacitados.
Fuentes
- The Hacker News — QuickFox Supply Chain Attack Delivers FDMTP Backdoor via Trojanized Windows Installer
https://thehackernews.com/2026/08/quickfox-supply-chain-attack-delivers.html