中国政府系ハッカー、QuickFox VPNを標的に「FDMTP」バックドアを展開

中国政府系「Mustang Panda」、QuickFox VPNを悪用したサプライチェーン攻撃で「FDMTP」を配布

中国のユーザーを中心に利用されているVPNサービス「QuickFox」が、長期間にわたるサプライチェーン攻撃の標的となっていたことが明らかになった。調査によると、この攻撃は2025年8月ごろから確認されており、中国政府系の脅威グループ「Mustang Panda」がバックドア「FDMTP」を配布していたとされる。

攻撃は、改ざんされたElectronレンダラーのHTMLファイルを起点としている。このファイルはJavaScriptローダーをダウンロードして実行するよう構成されており、Windows環境を検出するとFDMTPインプラントを展開する。特に、QuickFoxのWindows向けインストーラーにマルウェアが組み込まれていたことが確認されており、ユーザーに気付かれないままシステムへ侵入する仕組みとなっていた。感染はバージョン3.0.51.0以降で本格化したとみられている。

ローダーは、Steamなどの特定のプロセスや中国国内で利用される26種類のアプリケーションがシステム上に存在するかを確認し、条件を満たした場合に追加のペイロードをダウンロードする。その後、ZIPアーカイブを利用してファイルを展開し、DLLサイドローディングを用いて悪意のあるコードを実行する。

FDMTPによる情報収集と持続性の確保

FDMTPは、感染したシステム上で実行中のプログラムやセキュリティソフトウェア、ネットワーク情報などを収集し、コマンド・アンド・コントロール（C2）サーバーへ送信する。これにより、攻撃者は感染端末の環境を把握した上で追加の攻撃を実行できるほか、スケジュールタスクやレジストリを利用して永続性を確保し、長期的なアクセスを維持することが可能となる。

Fortinetは、今回の攻撃で確認された手法や特徴について、中国政府系とされる脅威グループ「Mustang Panda」の過去の活動との類似点を指摘しており、関連している可能性を排除していない。QuickFoxの主なユーザー層を踏まえると、攻撃は海外に居住する中国語話者を主な標的としている可能性がある。

今回の事例は、正規ソフトウェアの配布経路が侵害された場合、ユーザーが異常に気付かないままマルウェアに感染するリスクを改めて示している。組織には、VPNを含む外部ソフトウェアの導入時に配布元や署名、更新経路を確認するとともに、サプライチェーンを経由した不審な挙動を継続的に監視することが求められる。