Ein neuer QuickFox Supply-Chain-Angriff zeigt erneut, wie verwundbar das Vertrauen in fertige Software ist: Angreifer hatten den offiziellen Windows-Installer der Anwendung manipuliert und darüber heimlich eine Backdoor namens FDMTP verteilt. Fortinets FortiGuard Labs haben den Fall am 5. August 2026 öffentlich gemacht. Für IT-Verantwortliche ist die Kernbotschaft unbequem: Nicht der dubiose Download von irgendeiner Seite war das Problem, sondern die legitime Original-Software selbst.
Was beim QuickFox Supply-Chain-Angriff passierte
QuickFox ist ein Beschleuniger- und VPN-Dienst, der vor allem von chinesischen Nutzern im Ausland verwendet wird. Nach Angaben von Fortinet wurde der Windows-Installer der Anwendung mit Schadcode versehen und lieferte so den FDMTP-Implantat aus. Die Kampagne läuft demnach mindestens seit August 2025 – der Schadcode wurde zwischen dem 25. Juli und dem 13. August 2025 in den Installer eingeschleust, die früheste betroffene Version ist 3.0.51.0. Nach verantwortungsvoller Offenlegung hat der Hersteller die Schadkomponenten in einer neueren Fassung (Version 3.59.6) entfernt.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Der Angriffsweg: vom Installer zur Backdoor
Technisch nutzte der Angriff eine manipulierte Electron-Renderer-HTML-Datei, um einen JavaScript-basierten Loader herunterzuladen und auszuführen. Dieser Loader nimmt zunächst einen Fingerabdruck des Zielrechners, um zu prüfen, ob es sich um ein lohnendes Opfer handelt. Erst danach lädt und installiert er das FDMTP-Implantat. Auffällig ist die gezielte Auswahl: Die trojanisierten Installer spielten die Backdoor bevorzugt auf Unternehmensrechnern aus und mieden private Gaming-PCs – ein klarer Hinweis auf ein spionageorientiertes, nicht breit gestreutes Vorgehen.
Wer dahintersteckt
FDMTP ist keine Unbekannte: Die Backdoor stammt aus dem Werkzeugkasten des China-nahen Akteurs Mustang Panda. Wichtig zur Einordnung: Fortinet ordnet die QuickFox-Kampagne diesem Akteur ausdrücklich nicht offiziell zu, sondern spricht nur von taktischen Überschneidungen wie dem DLL-Sideloading. Wer genau dahintersteckt, ist also nicht bestätigt. Fortinet nennt zwei mögliche, unbestätigte Stoßrichtungen: gezielt chinesische Staatsbürger außerhalb Chinas oder Berufstätige, die beruflich mit chinesischen Muttersprachlern zu tun haben. Solche Angriffe auf die Software-Lieferkette sind für staatliche Akteure attraktiv, weil sie Vertrauen ausnutzen, das sonst nur schwer zu überwinden wäre.
Was IT-Verantwortliche daraus mitnehmen
- Bezugsquellen absichern: Software nur über offizielle, kontrollierte Kanäle beziehen – und selbst dann Prüfsummen und Signaturen abgleichen, wo verfügbar.
- Verhalten überwachen: Ein signierter Installer schützt nicht vor kompromittiertem Code. EDR und Netzwerk-Monitoring sollten ungewöhnliche Nachlade- und C2-Verbindungen erkennen.
- Least Privilege: Wo Nutzer keine Adminrechte für Installationen brauchen, sinkt der Schaden eines trojanisierten Setups deutlich.
- Software-Inventar pflegen: Wer weiß, welche Anwendungen im Unternehmen laufen, kann bei einem Advisory schnell die betroffenen Versionen finden.
Der Fall reiht sich in eine Serie von Angriffen auf die Software-Lieferkette ein – erst kürzlich sorgte eine Angriffswelle im Arch Linux AUR für Aufsehen. Das Muster bleibt gleich: Angegriffen wird dort, wo Anwender am wenigsten misstrauisch sind.
Quellen
- Fortinet FortiGuard Labs – QuickFox Supply Chain Attack Used to Deploy FDMTP Implant
- The Hacker News – QuickFox Supply Chain Attack Delivers FDMTP Backdoor
- SC Media – QuickFox VPN targeted in long-standing supply chain attack
- SecNews – QuickFox: Supply Chain attack with FDMTP Backdoor
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden