Un outil VPN et proxy Windows populaire a passé plus d’un an à installer discrètement une porte dérobée aux côtés de son logiciel légitime, et presque personne ne s’en est aperçu. Des chercheurs en sécurité ont révélé le 5 août 2026 que QuickFox, un outil VPN et d’accélération de jeux largement utilisé par les internautes chinois pour accéder à des services basés en Chine, avait vu son installeur officiel trafiqué pour déployer une porte dérobée persistante baptisée FDMTP.
Ce qui s’est passé
Selon les informations rapportées par The Hacker News, des attaquants ont modifié un fichier HTML intégré à l’installeur légitime de QuickFox pour télécharger et exécuter automatiquement du JavaScript malveillant depuis un faux domaine enregistré spécifiquement pour imiter la véritable infrastructure de QuickFox. La campagne serait active depuis au moins août 2025, ce qui signifie que l’installeur compromis a été distribué à un nombre inconnu d’utilisateurs pendant environ un an avant sa découverte.
QuickFox a retiré le code malveillant dans la version 3.59.6 de son logiciel. Le mécanisme d’infection ne s’exécutait que sous Windows ; si les versions macOS contenaient elles aussi le fichier modifié, la charge malveillante ne s’y activait pas, et les applications Android et iOS n’étaient pas concernées du tout.
Ce que faisait vraiment la porte dérobée
Une fois installée, la porte dérobée FDMTP collectait des informations système sensibles, dont les adresses IP, les processus en cours d’exécution, les adresses MAC et les noms d’utilisateur des machines infectées. FDMTP étant modulaire, elle permettait aussi aux attaquants de télécharger et exécuter à distance des plugins malveillants supplémentaires, leur offrant un accès continu et flexible aux systèmes compromis bien au-delà de la collecte de données initiale.
Des chercheurs en sécurité ont attribué l’usage de cette porte dérobée à Mustang Panda, un groupe d’attaquants largement identifié comme lié à des opérations d’espionnage soutenues par l’État chinois. Cette attribution, combinée au ciblage d’un outil particulièrement populaire auprès des utilisateurs sinophones, oriente vers une campagne davantage tournée vers le renseignement contre des populations spécifiques que vers une cybercriminalité opportuniste à large spectre.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Pourquoi ça compte au-delà de QuickFox
Cet incident est un exemple récent et limpide d’un risque qui dépasse largement un outil régional obscur : la chaîne d’approvisionnement logicielle des outils VPN et proxy est une cible attractive précisément parce que les utilisateurs installent ce type de logiciel en s’attendant à être protégés, ce qui rend un installeur compromis particulièrement dommageable pour la confiance une fois découvert. Une porte dérobée livrée via l’installeur même d’un VPN contourne la plupart des précautions que les utilisateurs appliqueraient normalement face à un téléchargement non sollicité ou un lien de phishing, puisque l’application elle-même est ce qu’ils sont volontairement allés chercher et en qui ils avaient confiance.
C’est aussi un rappel que les outils « VPN » et « proxy » populaires sur des marchés régionaux spécifiques, souvent en dehors des fournisseurs grand public couverts par la plupart des comparatifs occidentaux, portent un risque réel, parfois élevé. QuickFox n’est pas une application marginale ; elle a une base d’utilisateurs conséquente précisément parce qu’elle résout un vrai problème de connectivité régional, ce qui en a fait exactement le vecteur utile pour une campagne ciblée.
Chronologie de la campagne
Août 2025 : les attaquants commencent à distribuer l’installeur QuickFox trafiqué, intégrant du code malveillant qui télécharge et exécute du JavaScript depuis un domaine usurpateur. S’ensuit environ un an de distribution non détectée. Version 3.59.6 : QuickFox retire le code d’installeur malveillant, sans que le déclencheur interne exact de cette correction par rapport au calendrier de divulgation publique ait été détaillé publiquement. 5 août 2026 : des chercheurs en sécurité révèlent publiquement la campagne et attribuent le déploiement de la porte dérobée FDMTP à Mustang Panda.
Comment ce type d’attaque de chaîne d’approvisionnement est généralement découvert
FDMTP n’a pas été repéré via une revue de sécurité routinière de QuickFox ; il a émergé grâce à des chercheurs en sécurité indépendants analysant le comportement de l’installeur et les schémas de trafic réseau, le même type de contrôle externe qui met régulièrement au jour des problèmes dans des produits logiciels bien plus grands et établis. Ça vaut la peine d’être souligné dans les deux sens : le fait que des chercheurs externes aient fini par trouver et divulguer cette campagne est le signe d’une partie de l’écosystème de sécurité qui fonctionne à peu près comme prévu, même si ça a pris environ un an. Un outil bénéficiant d’un audit indépendant plus régulier et continu, le type de contrôle que les fournisseurs VPN grand public commandent de plus en plus de façon proactive, donne à ce même type de vigilance une meilleure chance de repérer une compromission plus vite, plutôt que de compter sur des chercheurs qui tombent dessus après coup.
Comment vérifier si vous êtes concerné
Si vous avez QuickFox installé, vérifiez que vous utilisez bien la version 3.59.6 ou ultérieure, qui a retiré le code d’installeur malveillant. Si vous avez installé ou réinstallé QuickFox à un moment entre août 2025 et la divulgation d’août 2026, considérez votre système comme potentiellement exposé : vérifiez la présence de processus en cours inhabituels, examinez les connexions réseau sortantes inattendues, et envisagez une analyse antivirus complète avec un outil de sécurité réputé et à jour. FDMTP étant modulaire, une simple désinstallation de QuickFox ne garantit pas la suppression de tout ce que la porte dérobée aurait pu télécharger et installer séparément.
Comment ça s’inscrit dans un schéma plus large de risque autour des VPN et outils proxy
QuickFox rejoint une liste croissante d’incidents cette année montrant que la confiance envers un VPN ou un proxy est une fonction de ce qui est vérifié indépendamment, pas de ce qui est annoncé. Notre couverture de la faille SplitVPN a montré un fournisseur « zéro logs » qui avait en réalité enregistré des dizaines de millions de connexions. Notre couverture de l’Opération Saffron a montré un service VPN saisi après avoir facilité des opérations de ransomware. QuickFox ajoute un troisième schéma à la liste : un outil légitime et largement utilisé compromis au niveau de la distribution par un attaquant sophistiqué et patient, prêt à attendre un an avant que la campagne ne soit découverte.
Aucun de ces trois incidents ne relève de la même défaillance. L’un est une fausse promesse de confidentialité, l’un est un service construit pour un usage malveillant dès le départ, et l’un est un outil de confiance compromis de l’extérieur. Pris ensemble, ils plaident pour la même réponse pratique : privilégier les fournisseurs avec un contrôle de sécurité indépendant actif et continu (audits, programmes de bug bounty, divulgation publique de vulnérabilités) plutôt que des fournisseurs, aussi populaires soient-ils régionalement, qui opèrent avec un contrôle externe minimal.
La leçon plus large pour choisir un VPN
Des histoires comme celle-ci expliquent pourquoi s’en tenir à des fournisseurs bien établis, audités indépendamment, avec un historique de sécurité public, compte plus que trouver l’option la moins chère ou la plus obscure disponible. Les fournisseurs établis avec des programmes de bug bounty actifs et un historique d’audits publics et nommés ont bien plus de contrôle sur leurs pipelines de build et de distribution qu’un petit outil régional que la plupart des chercheurs en sécurité occidentaux n’ont jamais examiné. Cela ne rend pas les petits outils intrinsèquement dangereux, mais cela signifie moins d’yeux indépendants pour repérer exactement ce type de compromission de la chaîne d’approvisionnement.
Un installeur trafiqué actif pendant un an sans être détecté, sur un outil que les gens ont spécifiquement téléchargé pour se protéger, est un échec sérieux qui a mis trop de temps à être repéré. Si vous utilisez des outils VPN ou proxy régionaux hors des fournisseurs audités et grand public, mettez à jour immédiatement en cas de compromission révélée et ne présumez pas qu'une simple désinstallation suffit à tout supprimer de ce qu'une porte dérobée modulaire aurait pu déployer. Pour la plupart des utilisateurs, s'en tenir à un fournisseur établi, audité et activement soumis au bug bounty reste le choix le moins risqué.
À lire aussi : Pourquoi ne pas acheter un VPN que vous n’avez pas vérifié et Meilleur VPN en 2026.