Мошеннический веб-сайт, имитирующий страницу загрузки WatchGuard, использовался для кражи учетных данных доступа к корпоративным сетям без вызова подозрений у пользователей. Исследователи из компании по безопасности Huntress обнаружили эту кампанию, целью которой был сбор адресов VPN-серверов, имен пользователей и паролей перед предоставлением подлинной программы для установки.
Расследование началось после обнаружения подозрительной активности, связанной с администратором, работавшим у поставщика управляемых услуг. По данным Huntress, этот пользователь искал в Bing загрузку VPN от WatchGuard и попал на обманную страницу, которая воспроизводила внешний вид официального сайта компании.
Этот адрес содержал предполагаемую страницу загрузки Mobile VPN with SSL. Чтобы продолжить установку, посетитель был вынужден заполнить форму, содержащую адрес сервера, имя пользователя и пароль — данные, которые также требуются легитимным клиентом.
Однако при отправке данных пользователь передавал их на другой домен, контролируемый операторами. Полученная информация могла быть использована для попытки доступа к сети организации.
Злокачественная система имела механизм, который отклонял первую отправку формы и стирал заполненные поля, заставляя жертву повторно вводить учетные данные. Таким образом, преступники могли получить несколько попыток захвата паролей.
Huntress сообщила, что домен, использовавшийся для предложения загрузки, был зарегистрирован 22 августа 2026 года, а адрес, предназначенный для сбора учетных данных, появился 14 сентября того же года. WatchGuard уже уведомляла о похожем адресе в январе, но тогда исследователи не нашли рабочего метода, направляющего посетителей через мошеннический процесс.
После сбора информации сайт начинал загрузку программного обеспечения непосредственно из официальной сети распространения контента WatchGuard, а не предоставлял поддельный установщик. Файл соответствовал версии 12.11.5 Mobile VPN with SSL и имел действительную цифровую подпись WatchGuard Technologies от 4 ноября 2025 года.
Huntress подтвердила, что установщик не был изменен после подписания. Таким образом, исследователи не нашли доказательств модификации оригинального исполняемого файла.
Эта тактика отличается от атак, распространяющих подделанные установщики или вредоносные библиотеки — файлы, которые могут быть обнаружены инструментами защиты конечных точек. В данном сценарии, поскольку кража учетных данных происходила непосредственно через браузер, загрузка оригинальной программы помогала снизить подозрения.
Расследование не зафиксировало ни одной загрузки на официальном сервере во время проанализированного инцидента, что может указывать на то, что пользователь, возможно, не завершил обе попытки отправки учетных данных. Команда по операциям безопасности была оповещена через 21 секунду после загрузки сайта, что позволило предоставить рекомендации по реагированию до того, как исследователи заметили дополнительный рост активности.
Huntress сообщила, что основной мошеннический домен стал неработоспособным 13 октября. Однако это не подтверждает, что вся инфраструктура, связанная с операцией, была отключена.
Организациям, которые могли пострадать, рекомендуется сбросить скомпрометированные пароли, активировать многофакторную аутентификацию и проверить любые подозрительные доступы к VPN. Также рекомендуется проинструктировать сотрудников получать программы только через официальные страницы поставщиков.
Этот случай иллюстрирует, как страница загрузки может использоваться для сбора конфиденциальных данных, даже если файл, предлагаемый посетителю, является легитимным. При этом типе атаки компрометация происходит во время заполнения формы, до установки программного обеспечения.