Ataque a la cadena de suministro de QuickFox expone a usuarios de VPN en todo el mundo
Investigadores en ciberseguridad han descubierto un ataque a la cadena de suministro que ha afectado a QuickFox, una herramienta de red privada virtual (VPN) utilizada principalmente por usuarios chinos en el extranjero. Este ataque se ha estado ejecutando desde al menos agosto de 2025 y es importante porque permite que un grupo de amenazas patrocinado por el estado chino, conocido como Mustang Panda, controle dispositivos de los usuarios sin su conocimiento.
Cómo funciona el ataque
El ataque se lleva a cabo mediante una versión modificada del instalador de QuickFox, que incluye un código malicioso. Este código permite la instalación de un programa llamado FDMTP, que actúa como una puerta trasera (backdoor) para los atacantes. Cuando el usuario ejecuta el instalador, se descarga y ejecuta un script de JavaScript que verifica si el dispositivo de la víctima es un objetivo válido antes de proceder con la instalación del malware.
- El script verifica si el sistema operativo es Windows y si hay aplicaciones específicas en ejecución, como plataformas de criptomonedas y herramientas de desarrollo.
- Si cumple con ciertos criterios, descarga un archivo ZIP que contiene el malware.
- Existen dos versiones del archivo ZIP, cada una con métodos distintos para activar el malware.
A quién afecta
Este ataque parece estar dirigido principalmente a usuarios de Windows, especialmente aquellos que son estudiantes o expatriados chinos. Se sospecha que el objetivo son ciudadanos chinos que residen fuera del país, así como profesionales que interactúan con hablantes nativos del idioma chino, posiblemente por razones comerciales o diplomáticas.
Qué significa esto para ti
Para los usuarios de QuickFox y otras aplicaciones de VPN, este ataque resalta la importancia de descargar software únicamente de fuentes confiables y de mantener los programas actualizados. QuickFox ha lanzado una nueva versión que elimina los componentes maliciosos, pero los usuarios deben estar alerta y considerar medidas adicionales de seguridad para proteger sus dispositivos de futuros ataques.