Im Zentrum des Angriffs stand laut FortiGuard Incident Response Team eine einzelne HTML-Datei im Installer, in die zwei JavaScript-Zeilen eingefügt wurden. Dadurch lud die Anwendung zwei Skripte von „cdns3.51quickfox[.]cn“ nach, einer Domain, die die offizielle QuickFox-Adresse „51quickfox[.]com“ nachahmte. Das sollte der Erkennung entgehen.
Von den beiden Dateien enthielt „firebase-analytics-compat.js“ legitimen Google-Firebase-Code. Die zweite Datei, „firebase-app-compat.js“, war dagegen stark verschleiert und gab sich als Firebase-SDK aus. Tatsächlich prüfte das Skript, ob das System unter Windows läuft, fragte bei einem Command-and-Control-Server nach, um eine Mehrfachinfektion zu vermeiden, und führte den Befehl „tasklist“ aus, um laufende Prozesse auszulesen.
Anschließend wurde diese Prozessliste gefiltert. Tauchte Steam in Form von „steam.exe“ auf, brach die Schadlogik den Ablauf ab. Gleichzeitig verlangte der Code, dass mindestens ein Prozessname zu einer Liste von 26 Anwendungen passte. Dazu zählten unter anderem Xshell, MobaXterm, Tabby Terminal, Navicat, DBeaver, Git, IntelliJ IDEA, Sublime Text, Notepad++, Microsoft Visual Studio Code, Exodus Wallet, Binance, Ledger Live, Trezor Suite, Telegram, SafeW, Ai Fanyi, Haiwang Chuhai, Yi Fanyi, Kuai Fanyi und HaiYiTong.
Erst wenn beide Bedingungen erfüllt waren, lud das Skript die nächste Stufe als ZIP-Archiv von derselben Domain nach. Fortinet identifizierte dabei zwei verschiedene Generationen dieser ZIP-Nutzlast. QuickFox entfernte die schädlichen Komponenten später mit Version 3.59.6 aus dem Windows-Installer; die Änderungen sollen irgendwann zwischen dem 25. Juli und dem 13. August 2025 eingeflossen sein. Als früheste betroffene Version nennt Fortinet 3.0.51.0.
FDMTP selbst wurde erstmals von Trend Micro im September 2024 als zweites Werkzeug beschrieben, das über den Downloader PUBLOAD verteilt wurde. In der aktuellen Variante versucht die Backdoor zunächst, eine Verbindung zum Command-and-Control-Server herzustellen. Danach fordert der Server mit einer „GetInfo“-Anfrage grundlegende Informationen über das kompromittierte System an.
Zu den gesammelten Daten gehören der Fenstertitel des aktuell obersten aktiven Programms, installierte Antivirenprogramme, die Laufzeitversion des .NET Framework, Netzwerk- und Betriebssysteminformationen, der aktuelle Benutzername sowie Angaben über das Implantat selbst, darunter vollständiger Dateipfad, Version, Prozess-ID und Name des Host-Prozesses. Nach der Bündelung und Exfiltration dieser Informationen fordert der Server zusätzlich eine Liste laufender Prozesse an, um weitere Systeme im Sinne der Angreifer auszusortieren.
Darüber hinaus kann die Schadsoftware Plugins laden, die vom Server nachgeliefert werden und ihre Funktionen erweitern. Einige dieser Nutzlasten, die Darktrace bereits Anfang dieses Jahres beschrieben hatte, dienen der Verwaltung geplanter Aufgaben, der Absicherung von Persistenz über die Registry sowie dem Fernabruf von Dateien oder Befehlen.
Fortinet ordnet die Kampagne keinem konkreten Akteur zu, verweist aber auf taktische Überschneidungen mit Mustang Panda. Die chinesische staatlich unterstützte Gruppe ist unter anderem für den Einsatz von DLL-Side-Loading zur Verteilung von Malware bekannt. Da QuickFox vor allem von chinesischen Auslandsstudenten und Expatriates genutzt wird, hält Fortinet es für möglich, dass gezielt chinesische Staatsangehörige außerhalb Chinas ausgewählt wurden. Ebenso nennt das Unternehmen als alternative Hypothese Fachkräfte, die für Handels- oder diplomatische Zwecke mit chinesischen Muttersprachlern arbeiten müssen. Bestätigen lasse sich keine der beiden Annahmen ohne Einblick in den Opferkontext der zweiten Angriffsstufe, so Fortinet.