Злоумышленники крали учётные данные VPN через поддельный сайт WatchGuard
В начале октября 2026 года прошла фишинговая кампания по краже учётных данных VPN. Злоумышленники использовали сайт-двойник WatchGuard, а посетителям после ввода данных предлагали загрузить подлинный установщик Mobile VPN with SSL.
Домен watchguard-vpn[.]net продвигался в результатах поиска, вероятно, с помощью отравления поисковой оптимизации. Одна из жертв нашла сайт через Bing по запросу о загрузке VPN WatchGuard. Страница предлагала версии для нескольких операционных систем.
После нажатия на вариант загрузки открывалось всплывающее окно браузера, написанное примерно на 150 строках неминифицированного JavaScript. В нём запрашивались адрес VPN-сервера, имя пользователя и пароль. Эти поля соответствовали данным, которые запрашивает легитимный VPN-клиент. Скрипт отправлял введённую информацию в формате JSON на отдельный домен сбора, watchguard-ssl[.]online.
Скрипт намеренно отклонял первую отправку, очищал поля и запрашивал данные повторно. Это могло позволить получить несколько вариантов пароля или побудить жертву исправить якобы ошибочно введённый пароль. После второй отправки сайт показывал сообщение об успешной установке, а установщик загружался напрямую с CDN WatchGuard.
Наблюдаемый установщик WatchGuard Mobile VPN with SSL версии 12.11.5 имел действующую подпись WatchGuard Authenticode. Его целостность соответствовала подписанному дайджесту SHA-256. Для атаки не требовались модифицированный установщик, вредоносная DLL или другое ВПО, которое средства защиты конечных точек могли бы легко обнаружить. Жертвы получали ожидаемое программное обеспечение, а их учётные данные VPN передавались злоумышленнику.
Ранее домен watchguard-vpn[.]net связывали с активностью по имперсонации WatchGuard. Его повторно зарегистрировали 22 августа 2026 года. Во время наблюдаемой кампании домен разрешался в IP-адрес 80.249.132[.]140 на инфраструктуре LeaseWeb. Домен сбора зарегистрировали 14 сентября.
Авторы отчёта рекомендуют специалистам по информационной безопасности:
- считать скомпрометированными учётные данные, введённые на фишинговом сайте;
- сбросить затронутые пароли;
- внедрить многофакторную аутентификацию (MFA);
- отслеживать входы в VPN из незнакомых сетей или сетей хостинг-провайдеров;
- блокировать выявленные домены и инфраструктуру.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
