QuickFox VPNのインストーラー、1年前にトロイの木馬化される

QuickFox VPNがマルウェアに感染、侵害は1年前から

CyberInsider – August 5, 2026

Fortinetの調査を通じ、QuickFox VPNが侵害されていたことが明らかになった。同社から報告を受けたQuickFoxは悪意のあるコンポーネントを削除し、修正バージョン3.59.6をすでにリリースしている。

QuickFoxはVPNプロキシおよびゲーム高速化サービスで、主に中国国外で暮らす中国人が利用している。Fortinetによると、2025年7月25日から8月13日の間に、QuickFoxのWindowsインストーラーのElectronレンダラーによって実行されるHTMLファイルにコードが追加されていた。このコードにより、ソフトウェアはQuickFoxの正規インフラ「51quickfox[.]com」に似た「cdns3[.]51quickfox[.]cn」からJavaScriptをダウンロードする。偽ドメインは2025年6月に登録されていた。侵害されたバージョンのうち、最も古いものは3.0.51.0で、macOSパッケージの一部も改変されていたものの、攻撃はWindowsでのみ実行される。

最終ペイロードがインストールされる際、被害者のコンピューターでゲームプラットフォーム「steam.exe」が検出されるとマルウェアは動作を停止する。一方、リモート管理ツール、開発ソフトウェア、データベースクライアント、暗号資産ウォレット、Telegram、中国語翻訳ユーティリティを検出した際には実行されるとのこと。このことから、攻撃者が個人ユーザーではなく、企業や業務用のシステムを標的にしていることが示唆される。

選別条件を満たしたコンピューター上では、スクリプトが「update.zip」アーカイブをダウンロードし、正規のMicrosoftユーティリティ「csmonitor.exe」を起動する。このプログラムを悪用して、有害な「Microsoft.ServiceHosting.Tools.dll」を読み込み、FDMTPインプラントがインストールされる。FDMTPは攻撃者が制御するサーバーに接続し、システム情報を収集。また、追加のプラグインを受信して​​Windowsレジストリに保存するだけでなく、ファイルのダウンロードやプログラムのリモート実行ができるという。

調査したシステムにおいて、大規模な活動は確認されなかったものの、攻撃者は長期にわたるアクセスや別のツールの展開が可能であったとFortinetは報告した。また、実行者は特定されていないものの、中国系アクターTwill Typhoonの活動と類似性が確認されている。

影響を軽減するためには、最新バージョンをインストールし、エンドポイントセキュリティのフルスキャンを実行することが推奨される。また、有害バージョンを使用していたシステムについては、異常なプロセスや見慣れないドメインへの接続を監視するだけでなく、一時ディレクトリ内にcsmonitor.exe、Microsoft.ServiceHosting.Tools.dll、update.bin、data.datなどのファイルが存在するかを確認する必要がある。