كشفت أبحاث أمنية حديثة عن هجوم سلسلة توريد طويل الأمد استهدف تطبيق QuickFox، وهو أداة VPN وتسريع شبكي موجهة للمستخدمين الصينيين المقيمين بالخارج. هذا الهجوم، الذي بدأ منذ أغسطس 2025، اعتمد على نسخة مُحصنة ببرمجيات خبيثة من التطبيق لنشر باب خلفي يُعرف باسم FDMTP، مرتبط بمجموعة التهديد المدعومة من الدولة الصينية والمعروفة باسم Mustang Panda.
خلفية الهجوم وأسلوب التنفيذ
وفقًا لتقارير Fortinet FortiGuard Labs، تم إدخال شيفرة خبيثة في ملف HTML ضمن مُثبّت التطبيق على نظام ويندوز. هذه الشيفرة تُشغّل مُحمّلًا يعتمد على JavaScript يقوم أولًا بتحديد هوية الجهاز المستهدف عبر بصمة رقمية، ثم يتواصل مع خادم تحكم وسيطرة (C2) لتنزيل زرع خبيث من نوع FDMTP. التحقيقات أظهرت أن النسخ المصابة بدأت من الإصدار 3.0.51.0 وحتى يوليو 2025، قبل أن يتم إصلاح الثغرة في الإصدار 3.59.6. اللافت أن الهجوم ركّز حصريًا على مستخدمي ويندوز، ما يعكس استهدافًا محددًا لشريحة تقنية بعينها.
تفاصيل تقنية للبرمجية الخبيثة
الشفرة الخبيثة تضمنت تحميل ملفين:
- firebase-analytics-compat.js: يحتوي على كود شرعي من منصة Google Firebase.
- firebase-app-compat.js: ملف مُموّه بشدة، يحاكي مكتبة Firebase لكنه يخفي وظائف خبيثة مثل التحقق من نظام التشغيل، منع إعادة الإصابة، وتشغيل أوامر مثل tasklist للحصول على قائمة العمليات الجارية.
البرمجية تتحقق من وجود تطبيقات معينة مثل Steam أو أدوات تطوير وبرمجيات مالية مثل Binance وLedger Live، وإذا وجدت، تُوقف التنفيذ لتجنب كشفها. أما إذا استوفت الشروط، فتقوم بتنزيل حمولة إضافية على شكل ملف ZIP يحتوي على DLL خبيث.
- الجيل الأول (سبتمبر 2025): DLL جانبي باسم Client.dll يتضمن FDMTP.
- الجيل الثاني (مايو 2026): DLL جانبي يعمل كمُحمّل لملف مشفر (update.bin) يحتوي على FDMTP.
وظائف FDMTP وأهدافه
أداة FDMTP ليست جديدة؛ فقد رُصدت لأول مرة في 2024 عبر أداة تحميل تُعرف باسم PUBLOAD. في نسختها الأخيرة، تقوم الأداة بالخطوات التالية:
- إنشاء اتصال بخادم C2 واستقبال أوامر مثل GetInfo لجمع بيانات أساسية من الجهاز.
- جمع معلومات تشمل: اسم المستخدم، تفاصيل النظام والشبكة، البرامج المثبتة، وإصدار .NET Framework.
- إرسال البيانات إلى الخادم، ثم تلقي أوامر إضافية مثل جرد العمليات الجارية.
- تحميل مكونات إضافية (Plugins) لإدارة المهام المجدولة، التحكم في سجل ويندوز (Registry Persistence)، أو جلب ملفات وأوامر جديدة عن بُعد.
هذا التنوع في الوظائف يجعل FDMTP منصة مرنة للهجمات، قادرة على التكيف مع أهداف مختلفة، سواء للتجسس أو السيطرة طويلة الأمد.
دلالات أمنية واستهدافات محتملة
رغم أن Fortinet لم تُحدد هوية الجهة المسؤولة بشكل قاطع، إلا أن التشابه في الأساليب مع مجموعة Mustang Panda يثير الشكوك حول تورطها. هذه المجموعة معروفة باستخدامها تقنية DLL Side-Loading لنشر برمجيات خبيثة. التحقيقات تشير إلى أن الهجوم ربما استهدف الطلاب الصينيين بالخارج والمغتربين، أو حتى المهنيين الذين يتعاملون مع متحدثين أصليين بالصينية في سياقات تجارية أو دبلوماسية. هذا يفتح الباب أمام فرضيات متعددة حول الأهداف الاستراتيجية للحملة، سواء كانت مرتبطة بمراقبة الجاليات أو بالتجسس على علاقات دولية.
