Awas! Serangan Supply Chain Incar VPN QuickFox

Awas! Serangan Supply Chain Incar VPN QuickFox – Peneliti keamanan siber telah mengungkap aksi penyerangan supply chain attack berskala panjang yang menargetkan QuickFox, sebuah aplikasi Virtual Private Network (VPN) dan akselerator jaringan yang populer di berbagai kalangan.

Menurut laporan, serangan ini diperkirakan telah berlangsung sejak setidaknya Agustus 2025. Peretas menyisipkan komponen trojan ke dalam aplikasi resmi QuickFox untuk menyebarkan FDMTP, sebuah backdoor yang diketahui kerap digunakan oleh kelompok peretas tingkat negara (state-sponsored threat actor) asal Tiongkok yang dilacak sebagai Mustang Panda.

Mekanisme Infeksi dan Analisis Teknis

Serangan ini dikirimkan melalui berkas HTML renderer Electron yang telah dimodifikasi untuk mengunduh dan mengeksekusi skrip pemuat (loader) berbasis JavaScript.

Setelah dijalankan, loader tersebut melakukan sidik jari (fingerprinting) pada sistem korban untuk menguji apakah sistem merupakan target yang valid sebelum mengunduh dan menginstal implant FDMTP.

Vektor Kode Berbahaya pada Installer

Kode berbahaya yang disisipkan ke dalam berkas installer executable QuickFox berupa dua baris JavaScript pada satu berkas HTML. Kode ini mengeksekusi dua skrip payload:

firebase-app-compat.js
firebase-analytics-compat.js

Kedua skrip tersebut di-hosting pada domain penyamar cdns3.51quickfox[.]cn guna meniru domain resmi QuickFox (51quickfox[.]com) demi mengelabui deteksi sistem keamanan.

Pengecekan Target dan Aplikasi Spesifik

Skrip firebase-analytics-compat.js berisi kode Google Firebase yang sah. Sebaliknya, firebase-app-compat.js adalah payload terkonfuskasi yang meniru SDK Firebase untuk memeriksa lingkungan korban:

Memeriksa apakah sistem menggunakan sistem operasi Windows.
Menghubungi server Command-and-Control (C2) untuk memastikan sistem belum terinfeksi sebelumnya.
Menjalankan perintah tasklist untuk mengidentifikasi proses aplikasi yang sedang berjalan.

Penyerang menetapkan kriteria seleksi target yang spesifik:

Menghentikan Eksekusi: Jika ditemukan proses aplikasi Steam (steam.exe), skrip akan membatalkan infeksi.
Melanjutkan Infeksi: Skrip mewajibkan adanya minimal satu proses dari 26 aplikasi domestik Tiongkok, dompet kripto, alat pengembang (developer tools), atau perangkat lunak enterprise. Aplikasi target tersebut meliputi: Xshell, MobaXterm, Tabby Terminal, Navicat, DBeaver, Git, IntelliJ IDEA, Sublime Text, Notepad++, Visual Studio Code, Exodus Wallet, Binance, Ledger Live, Trezor Suite, Telegram, SafeW, Ai Fanyi, Haiwang Chuhai, Yi Fanyi, Kuai Fanyi, dan HaiYiTong.

Evolusi Generasi Payload FDMTP

Jika kriteria target terpenuhi, skrip mengunduh berkas arsip ZIP dari domain yang sama. Peneliti mengidentifikasi dua generasi payload ZIP yang digunakan:

Generasi 1 (Digunakan sejak September 2025): Memanfaatkan teknik DLL side-loading untuk meluncurkan DLL berbahaya yang memuat backdoor FDMTP (Client.dll).
Generasi 2 (Digunakan sejak Mei 2026): Menggunakan DLL side-loading untuk meluncurkan DLL yang bertindak sebagai loader bagi berkas terenkripsi (update.bin) yang berisi FDMTP.

Fungsi dan Kapabilitas Backdoor FDMTP

FDMTP pertama kali diidentifikasi oleh Trend Micro pada September 2024 sebagai alat sekunder yang didistribusikan melalui downloader PUBLOAD.

Dalam iterasi terbaru ini, FDMTP terhubung ke server C2, yang kemudian membalas dengan permintaan GetInfo untuk mengumpulkan data dasar sistem korban.

Data yang dieksfiltrasi mencakup:

Judul jendela program utama yang sedang aktif.
Daftar program antivirus yang terinstal.
Versi runtime .NET Framework.
Informasi jaringan dan sistem operasi.
Nama pengguna (username) yang sedang aktif.
Detail implant (jalur berkas, versi, ID proses, dan nama proses induk).

Setelah data dikirimkan, server C2 meminta daftar proses yang berjalan untuk memfilter target lebih lanjut.

Selain itu, FDMTP bertugas memuat plugin tambahan dari server C2 untuk memfasilitasi pengolahan tugas terjadwal (scheduled tasks), menjaga persistensi Registry, serta mengambil berkas atau perintah secara jarak jauh.

Dampak dan Respons Vendor

Aplikasi QuickFox utamanya digunakan oleh mahasiswa internasional dan ekspatriat asal Tiongkok. Oleh karena itu, diduga kuat bahwa kampanye ini sengaja membidik warga negara Tiongkok yang tinggal di luar negeri.

Hipotesis lainnya adalah serangan ini menargetkan para profesional yang berinteraksi dengan penutur bahasa Mandarin untuk keperluan perdagangan atau diplomasi.

Setelah menerima laporan kerentanan (responsible disclosure), QuickFox telah menghapus komponen berbahaya tersebut dari installer Windows mereka melalui rilis versi 3.59.6.

Perbaikan ini diterapkan antara 25 Juli hingga 13 Agustus 2025, dengan versi terdampak paling awal adalah versi 3.0.51.0. Seluruh bukti menunjukkan bahwa kampanye ini hanya menargetkan pengguna sistem operasi Windows.

Baca artikel lainnya: