QuickFox VPN: Installer mit Backdoor für Krypto-Datenraub infiziert
Veröffentlicht am: 06.08.2026 um 21:11 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Fortinet haben eine Kampagne aufgedeckt, bei der Installationsprogramme des chinesischen VPN-Anbieters QuickFox für Windows mit Schadcode infiziert wurden. Ziel des Angriffs ist die Verteilung einer Backdoor, die speziell auf die Extraktion von Daten von Geschäfts- und Kryptowährungsnutzern ausgerichtet ist. Die Manipulationen betreffen demnach eine Reihe von älteren Versionen der Software, wobei der Anbieter die Bedrohung in der aktuellsten Version bereits behoben hat.
Gezielte Supply-Chain-Attacke auf Windows-Nutzer
Die Experten von Fortinet identifizierten die trojanisierten Installer, die bereits seit dem August des vergangenen Jahres im Umlauf sind. Es handelt sich dabei um einen sogenannten Supply-Chain-Angriff, dessen Ursprung vermutlich in den Monaten Juli und August des Vorjahres liegt. Technisch wurde die Schadsoftware über manipuliertes JavaScript innerhalb einer Electron-HTML-Datei in das Installationspaket integriert.
Betroffen sind nach Angaben der Analysten die QuickFox-Versionen 3.51.0 bis 3.55.5. Während die entsprechenden Code-Fragmente auch in Installern für macOS gefunden wurden, scheint die Schadwirkung nach aktuellem Kenntnisstand ausschließlich auf Windows-Systeme beschränkt zu sein. Sobald ein Nutzer das präparierte Programm installiert, wird ein Implantat namens FDMTP im System verankert.
Fokus auf Geschäftsdaten und Kryptowährungen
Ein markantes Merkmal dieser Kampagne ist die präzise Auswahl der Opfer. Das FDMTP-Implantat ist darauf ausgelegt, das infizierte System nach spezifischen Informationen zu durchsuchen. Insgesamt stehen 26 verschiedene Anwendungen im Fokus der Angreifer, darunter vor allem Entwicklungswerkzeuge und digitale Geldbörsen für Kryptowährungen (Wallets).
Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen durch manipulierte Software – diese Checkliste hilft Ihnen, solche Infektionen zu verhindern. Erfahren Sie im kostenlosen E-Book, wie Sie sich und Ihre Geschäftsdaten proaktiv absichern, bevor es zu spät ist. Kostenloses Cyber-Security E-Book herunterladen
Zudem verfügt die Schadsoftware über einen Mechanismus zur Vermeidung von Entdeckungen auf Systemen, die primär zu Unterhaltungszwecken genutzt werden. Die Backdoor prüft aktiv, ob die Spieleplattform Steam auf dem Rechner installiert ist. Sollte dies der Fall sein, wird die Infektion abgebrochen. Analysten werten dies als deutliches Zeichen dafür, dass die Hintermänner gezielt geschäftliche Umgebungen und wertvolle Krypto-Assets angreifen wollen, während sie die Aufmerksamkeit von Privatnutzern und der Gaming-Community meiden.
Zuschreibung und Behebung der Schwachstelle
Die Sicherheitsforscher vermuten hinter dem Angriff die Akteursgruppe Mustang Panda, die in Fachkreisen auch unter dem Namen Twill Typhoon bekannt ist. Diese Einschätzung stützt sich auf technische Überschneidungen bei den verwendeten Werkzeugen und der Infrastruktur.
Wer sich mit der Sicherheit von Unternehmensdaten befasst, sollte auch die Risiken neuer Bedrohungsszenarien und gesetzlicher Anforderungen kennen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Cyberrisiken Unternehmer jetzt kennen müssen. Gratis-Report zu Cyber-Security-Trends sichern
Nutzer des VPN-Dienstes QuickFox werden angehalten, ihre installierte Version umgehend zu überprüfen. Der Anbieter hat den Schadcode laut Fortinet bereits aus der Software entfernt. Die Bereinigung erfolgte mit der Veröffentlichung der Version 3.59.6, in der die bösartigen Komponenten nicht mehr enthalten sind. Experten raten dazu, ausschließlich offizielle und aktuelle Versionen von Software zu verwenden und Systeme regelmäßig auf unautorisierte Hintergrundprozesse zu scannen.
