Huntress güvenlik araştırmacılarına göre sahte bir WatchGuard VPN indirme sitesi, ziyaretçilerin giriş bilgilerini topladıktan sonra onları dijital olarak imzalanmış gerçek yükleyiciye yönlendirdi. Bu yöntem, kötü amaçlı yazılım yüklemeden kurumsal ağları riske atabilir.
Huntress, yönetilen hizmet sağlayıcıda çalışan bir yöneticiyle ilgili şüpheli etkinliği tespit ettikten sonra inceleme başlattı. Yönetici, Bing'de WatchGuard VPN indirmesi aramış ve sunucu adresi, kullanıcı adı ile parola isteyen benzer görünümlü watchguard-vpn[.]net sitesini ziyaret etmişti. Form, bu bilgileri watchguard-ssl[.]online adresine gönderdi.
Site, ilk gönderimi reddedip alanları temizleyerek ziyaretçiyi kimlik bilgilerini yeniden girmeye yöneltti. İkinci gönderimin ardından Mobile VPN with SSL istemcisi 12.11.5 sürümünü WatchGuard'ın resmî içerik dağıtım ağından sundu. Huntress, yükleyicinin geçerli bir WatchGuard Technologies imzası taşıdığını ve değiştirilmiş olduğuna dair kanıt bulunmadığını bildirdi.
Huntress, indirme alan adının 22 Ağustos 2026'da, kimlik bilgilerini toplayan alan adının ise 14 Eylül'de kaydedildiğini bildirdi. WatchGuard benzer adresi ocak ayında rapor etmişti; o sırada araştırmacılar sahte indirme sürecini çalıştıran bir mekanizma bulamamıştı. Yükleyicinin imza zaman damgası 4 Kasım 2025'ti.
Huntress, incelenen olay sırasında resmî sunucudan yapılmış bir indirme kaydı bulamadı; bu da kullanıcının iki gönderimi de tamamlamamış olabileceğine işaret ediyor. Uyarı, site yüklendikten 21 saniye sonra geldi. Huntress, ana aldatıcı alan adının 13 Ekim'e kadar çevrimdışı olduğunu bildirdi; ancak bu durum, ilişkili altyapının başka yerlerde etkin olup olmadığını göstermiyordu.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.