En falsk nedladdningssajt för WatchGuard VPN samlade in inloggningsuppgifter innan den ledde besökarna till det äkta, digitalt signerade installationsprogrammet, enligt säkerhetsforskare på Huntress. Metoden kan utsätta företagsnätverk för risk utan att installera skadlig kod.
Huntress inledde en undersökning efter att ha upptäckt misstänkt aktivitet som involverade en administratör hos en leverantör av hanterade tjänster. Administratören hade sökt på Bing efter en WatchGuard VPN-nedladdning och besökt den snarlika sajten watchguard-vpn[.]net, som bad om en serveradress, ett användarnamn och ett lösenord. Formuläret skickade uppgifterna till watchguard-ssl[.]online.
Sajten uppges ha avvisat den första inskickningen och rensat fälten, vilket fick besökaren att ange uppgifterna igen. Efter den andra inskickningen erbjöd sajten Mobile VPN with SSL-klienten version 12.11.5 från WatchGuards officiella nätverk för innehållsleverans. Huntress uppgav att installationsprogrammet hade en giltig signatur från WatchGuard Technologies och att det inte fanns några tecken på att det hade ändrats.
Huntress uppgav att nedladdningsdomänen registrerades den 22 augusti 2026 och att domänen som samlade in inloggningsuppgifter dök upp den 14 september. WatchGuard hade rapporterat den snarlika adressen i januari, då forskare inte hittade någon fungerande mekanism för den falska nedladdningen. Installationsprogrammets signeringstidsstämpel var den 4 november 2025.
Huntress hittade ingen registrerad nedladdning från den officiella servern under den undersökta händelsen, vilket tyder på att användaren kanske inte slutförde båda inskickningarna. Larmet kom 21 sekunder efter att sajten hade laddats. Den huvudsakliga vilseledande domänen var offline senast den 13 oktober, men Huntress uppgav att det inte visade om relaterad infrastruktur fortfarande var aktiv någon annanstans.
Kommentarer
0Inga kommentarer ännu. Skriv den första.