Un sitio falso para descargar WatchGuard VPN recopiló datos de acceso antes de dirigir a los visitantes al instalador auténtico con firma digital, según investigadores de seguridad de Huntress. El método podría exponer redes corporativas sin instalar malware.
Huntress inició la investigación tras detectar actividad sospechosa relacionada con un administrador de un proveedor de servicios gestionados. El administrador había buscado en Bing una descarga de WatchGuard VPN y visitado watchguard-vpn[.]net, un sitio similar al oficial que pedía una dirección de servidor, un nombre de usuario y una contraseña. El formulario enviaba esos datos a watchguard-ssl[.]online.
Según se informó, el sitio rechazó el primer envío y borró los campos, lo que llevó al visitante a introducir las credenciales otra vez. Tras el segundo envío, ofreció el cliente Mobile VPN with SSL versión 12.11.5 desde la red oficial de distribución de contenidos de WatchGuard. Huntress afirmó que el instalador tenía una firma válida de WatchGuard Technologies y que no había indicios de que se hubiera modificado.
Huntress indicó que el dominio de descarga se registró el 22 de agosto de 2026 y que el dominio que recopilaba las credenciales apareció el 14 de septiembre. WatchGuard había informado de la dirección similar en enero; entonces, los investigadores no encontraron ningún mecanismo operativo para el proceso de descarga fraudulenta. La marca de tiempo de la firma del instalador era del 4 de noviembre de 2025.
Huntress no encontró constancia de una descarga desde el servidor oficial durante el incidente investigado, lo que sugiere que el usuario quizá no completó los dos envíos. La alerta llegó 21 segundos después de que se cargara el sitio. El dominio engañoso principal estaba desconectado para el 13 de octubre, aunque Huntress señaló que eso no demostraba si la infraestructura asociada seguía activa en otros lugares.
Comentarios
0Aún no hay comentarios. Escribe el primero.