एक धोखाधड़ी वाली वेबसाइट ने वॉचगार्ड के डाउनलोड पेज का अनुकरण किया ताकि उपयोगकर्ताओं में संदेह पैदा किए बिना कॉर्पोरेट नेटवर्क तक पहुंच के क्रेडेंशियल चुराए जा सकें। सुरक्षा कंपनी हंट्रेस के शोधकर्ताओं ने इस अभियान की पहचान की, जिसका उद्देश्य वास्तविक प्रोग्राम को इंस्टॉलेशन के लिए उपलब्ध कराने से पहले वीपीएन सर्वर पते, उपयोगकर्ता नाम और पासवर्ड एकत्र करना था।
यह जांच एक प्रबंधित सेवा प्रदाता के लिए काम करने वाले एक व्यवस्थापक से संबंधित संदिग्ध गतिविधियों का पता चलने के बाद शुरू हुई। हंट्रेस के अनुसार, इस उपयोगकर्ता ने Bing पर वॉचगार्ड वीपीएन डाउनलोड खोजा और एक भ्रामक पेज पर पहुंचा जो कंपनी की आधिकारिक साइट जैसा दिखता था।
इस पते पर मोबाइल वीपीएन विद एसएसएल का एक कथित डाउनलोड पेज प्रदर्शित किया गया था। इंस्टॉलेशन के साथ आगे बढ़ने के लिए, आगंतुक को एक फॉर्म भरने के लिए मजबूर किया गया जिसमें सर्वर का पता, उपयोगकर्ता नाम और पासवर्ड शामिल थे, ये ऐसे डेटा हैं जिनकी वैध ग्राहक को भी आवश्यकता होती है।
हालांकि, डेटा सबमिट करने पर, उपयोगकर्ता इसे एक अलग डोमेन पर भेजता था, जो ऑपरेशन के संचालकों के नियंत्रण में था। प्राप्त जानकारी का उपयोग संगठन के नेटवर्क तक पहुंचने का प्रयास करने के लिए किया जा सकता था।
दुर्भावनापूर्ण सिस्टम में एक तंत्र था जो फॉर्म के पहले सबमिशन को अस्वीकार करता था और भरे हुए फ़ील्ड्स को मिटा देता था, जिससे पीड़ित को क्रेडेंशियल्स फिर से दर्ज करने के लिए मजबूर होना पड़ता था। इस प्रकार, अपराधी पासवर्ड कैप्चर करने के कई प्रयासों को प्राप्त कर लेते थे।
हंट्रेस ने बताया कि डाउनलोड प्रदान करने के लिए उपयोग किया जाने वाला डोमेन 22 अगस्त 2026 को पंजीकृत किया गया था, जबकि क्रेडेंशियल संग्रह के लिए समर्पित पता उसी वर्ष 14 सितंबर को सामने आया था। वॉचगार्ड ने जनवरी में एक समान पते के बारे में पहले ही सूचित कर दिया था, लेकिन उस समय शोधकर्ताओं को धोखाधड़ी प्रक्रिया के माध्यम से आगंतुकों का मार्गदर्शन करने का कोई कार्यात्मक तरीका नहीं मिला था।
जानकारी एकत्र करने के बाद, साइट नकली इंस्टालर प्रदान करने के बजाय सीधे वॉचगार्ड की आधिकारिक सामग्री वितरण नेटवर्क से सॉफ़्टवेयर डाउनलोड करना शुरू कर देती थी। फ़ाइल मोबाइल वीपीएन विद एसएसएल का संस्करण 12.11.5 थी और इसमें 4 नवंबर 2025 की तारीख के साथ वॉचगार्ड टेक्नोलॉजीज का एक वैध डिजिटल हस्ताक्षर था।
हंट्रेस ने पुष्टि की कि हस्ताक्षर के बाद इंस्टालर में कोई बदलाव नहीं किया गया था। इस प्रकार, शोधकर्ताओं को वास्तविक निष्पादन योग्य में किसी भी संशोधन का कोई सबूत नहीं मिला।
यह रणनीति उन हमलों से अलग है जो छेड़छाड़ किए गए इंस्टालर या दुर्भावनापूर्ण पुस्तकालयों का वितरण करते हैं, ऐसी फाइलें जिन्हें एंडपॉइंट सुरक्षा उपकरणों द्वारा पहचाना जा सकता है। इस परिदृश्य में, चूंकि क्रेडेंशियल चोरी सीधे ब्राउज़र के माध्यम से हो रही थी, इसलिए मूल कार्यक्रम का डाउनलोड संदेह को कम करने में मदद करता था।
विश्लेषण किए गए घटना के दौरान सर्वर पर किसी भी डाउनलोड का रिकॉर्ड नहीं रखा गया, जो बताता है कि उपयोगकर्ता शायद क्रेडेंशियल्स के दो सबमिशन प्रयासों को पूरा नहीं कर पाया होगा। सुरक्षा संचालन टीम को साइट लोड होने के 21 सेकंड बाद सचेत किया गया था, जिससे शोधकर्ताओं द्वारा गतिविधि में अतिरिक्त वृद्धि देखे जाने से पहले प्रतिक्रिया दिशानिर्देश प्रदान करना संभव हो गया।
हंट्रेस ने बताया कि मुख्य धोखाधड़ी डोमेन 13 अक्टूबर को निष्क्रिय था। हालांकि, यह स्थिति पुष्टि नहीं करती है कि ऑपरेशन से जुड़ी पूरी बुनियादी ढांचा निष्क्रिय कर दिया गया है।
जिन संगठनों को प्रभावित किया जा सकता है, उनके लिए समझौता किए गए पासवर्ड रीसेट करने, मल्टी-फैक्टर ऑथेंटिकेशन सक्रिय करने और वीपीएन तक किसी भी संदिग्ध पहुंच की जांच करने की सिफारिश की जाती है। कर्मचारियों को केवल विक्रेताओं के आधिकारिक पेजों के माध्यम से प्रोग्राम प्राप्त करने का निर्देश देना भी उचित है।
यह मामला दर्शाता है कि कैसे एक डाउनलोड पेज का उपयोग गोपनीय डेटा कैप्चर करने के लिए किया जा सकता है, भले ही आगंतुक को पेश की गई फ़ाइल वैध हो। हमले के इस तरीके में, सॉफ्टवेयर इंस्टॉलेशन से पहले फॉर्म भरने के दौरान समझौता होता है।