WatchGuard yuklab olish sahifasini simulyatsiya qilgan firibgarlik veb-sayti foydalanuvchilarda shubha uygʻotmasdan korporativ tarmoqlarga kirish uchun maxsus maʼlumotlarni oʻgʻirlash maqsadida qoʻllanilgan. Xavfsizlik kompaniyasi Huntress tadqiqotchilari bu kampaniyaning VPN serverlari manzillari, foydalanuvchi nomlari va parollarni yigʻishni maqsad qilganini aniqladilar, shu bilan birga asl dasturni oʻrnatish uchun taqdim etishdi.
Tadqiqot boshlangʻichida boshqariladigan xizmatlar provayderiga ishlaydigan administrator bilan bogʻliq shubhali faoliyat aniqlanganidan soʻng boshlangan. Huntressning maʼlumotlariga koʻra, ushbu foydalanuvchi Bingʻda WatchGuard VPN yuklamasini qidirib, kompaniyaning rasmiy saytining koʻrinishini nusxalagan aldovli sahifaga kirgan.
Bu manzilda Mobile VPN with SSL ning taxminiy yuklab olish sahifasi mavjud edi. Oʻrnatishni davom ettirish uchun tashrif buyuruvchi server manzili, foydalanuvchi nomi va parolni oʻz ichiga olgan shaklni toʻldirishga majbur boʻlgan, bu maʼlumotlar legitiim mijoz tomonidan ham talab qilinadi.
Biroq, maʼlumotlarni yuborganida, foydalanuvchi ularni operatsiyani amalga oshiruvchilar nazoratidagi boshqa domen orqali yuborgan. Olingan maʼlumotlar tashkilot tarmogʻiga kirishga urinish uchun ishlatilishi mumkin edi.
Malicious tizimda shaklning birinchi yuborilishini rad etuvchi va toʻldirilgan maydonlarni oʻchiruvchi mexanizm mavjud edi, bu esa qurbonni maʼlumotlarni yana kiritishga majburlaydi. Shu tariqa, jinoyatchilar parollarni ushlab olishning bir nechta urinishlarini amalga oshira oldilar.
Huntress yuklama taklif qilish uchun ishlatilgan domen 2026-yil 22-avgustda roʻyxatga olinganligini, maʼlumotlarni yigʻishga bagʻishlangan manzil esa oʻsha yilning 14-sentabrida paydo boʻlganini xabar qildi. WatchGuard allaqachon yanvar oyida shunga oʻxshash manzil haqida ogohlantirgan edi, ammo oʻsha paytda tadqiqotchilar firibgarlik jarayonini yoʻnaltiruvchi funksional usul topa olmagan edilar.
Maʼlumotlar yigʻilgandan soʻng, sayt soxta oʻrnatuvchini taqdim etish oʻrniga, toʻgʻridan-toʻgʻri WatchGuard kontent taqsimlash tarmogʻidan dasturni yuklab olishni boshladi. Fayl Mobile VPN with SSL ning 12.11.5 versiyasiga mos kelardi va 2025-yil 4-noyabr sanasida WatchGuard Technologies ning amal qiluvchi raqamli imzosi mavjud edi.
Huntress oʻrnatuvchi imzo qoʻyilgandan keyin oʻzgartirilmaganligini tasdiqladi. Shunday qilib, tadqiqotchilar asl ijro etuvchida oʻzgarishlar borligiga dalil topmadilar.
Bu taktika soxta oʻrnatuvchilarni yoki zararli kutubxonalarni tarqatadigan hujumlardan farq qiladi, bu fayllar endpoint himoya vositalari tomonidan aniqlanishi mumkin. Ushbu ssenariyda, chunki parollarni oʻgʻirlash bevosita brauzer orqali sodir boʻlgan, asl dasturni yuklab olish shubhalarni kamaytirishga yordam berdi.
Tahlil qilingan hodisa davrida rasmiy serverda hech qanday yuklama qayd etilmadi, bu foydalanuvchi parollarni ikkala yuborish urinishini yakunlamagan boʻlishi mumkinligini koʻrsatadi. Xavfsizlik operatsiyalari jamoasi sayt yuklangandan 21 soniya oʻtgach ogohlantirildi, bu tadqiqotchilar qoʻshimcha faoliyat ortishini kuzatishdan oldin javob berish yoʻriqnomalarini berishga imkon berdi.
Huntress asosiy firibgarlik domenining 2026-yil 13-oktyabrda ishlamayotganini maʼlum qildi. Biroq, bu holat operatsiyaga bogʻliq barcha infratuzilma oʻchirilganligini tasdiqlamaydi.
Taʼsirlangan boʻlishi mumkin boʻlgan tashkilotlar uchun, buzilgan parollarni qayta sozlash, koʻp omilli autentifikatsiyani faollashtirish va VPN ga shubhalik kirishlarni tekshirish tavsiya etiladi. Shuningdek, xodimlarga dasturlarni faqat provayderlarning rasmiy sahifalari orqali olishlari kerakligi haqida koʻrsatma berish maslahat beriladi.
Bu holat yuklab olish sahifasi hatto tashrif buyuruvchiga taklif etilgan fayl legitiim boʻlsa ham, maxfiy maʼlumotlarni qanday yigʻish uchun ishlatilishi mumkinligini koʻrsatadi. Bu hujum turida, dastur oʻrnatilishidan oldin, shaklni toʻldirish paytida buzilish yuzaga keladi.