Фальшивий сайт WatchGuard збирав облікові дані VPN через справжній інсталятор

18.10.2026, 20:50 processer.media

Шахрайський сайт, що імітував сторінку завантаження VPN-клієнта WatchGuard, збирав адреси серверів, імена користувачів і паролі, а після цього пропонував жертвам справжній підписаний інсталятор програми. Про це повідомляє TechRadar з посиланням на дослідників Huntress.

Розслідування почалося після виявлення підозрілої активності, пов’язаної з адміністратором компанії-постачальника керованих послуг. За даними дослідників, працівник шукав у Bing завантаження WatchGuard VPN, після чого перейшов на домен watchguard-vpn[.]net, оформлений так, щоб нагадувати офіційні сторінки виробника.

На сайті пропонували завантажити Mobile VPN with SSL і показували форму для введення адреси VPN-сервера, логіна та пароля. Запит виглядав правдоподібно, оскільки ці дані потрібні для роботи справжнього VPN-клієнта. Після надсилання форми відомості передавалися на інший домен — watchguard-ssl[.]online.

Шкідливий скрипт відхиляв перше введення та очищав поля, спонукаючи користувача заповнити їх повторно. Це могло дати операторам сайту кілька варіантів пароля. Huntress встановила, що домен для завантаження зареєстрували 22 серпня 2026 року, а домен для збору облікових даних — 14 вересня. Раніше WatchGuard уже повідомляла про схожу адресу, однак тоді дослідники не виявили робочого механізму фальшивого завантаження.

Після другого надсилання форми сайт завантажував програму безпосередньо з офіційної мережі доставки контенту WatchGuard. Йшлося про клієнт Mobile VPN with SSL версії 12.11.5 із чинним цифровим підписом WatchGuard Technologies та позначкою часу від 4 листопада 2025 року.

Фахівці Huntress перевірили, що інсталятор не змінювали після підписання. Таким чином, атака не потребувала поширення шкідливого виконуваного файлу: облікові дані викрадалися у браузері ще до завантаження легітимного ПЗ. Під час розслідуваного інциденту не зафіксували завантаження з офіційного сервера, тому користувач міг не завершити обидва етапи введення даних.

Основний шахрайський домен, за даними Huntress, був недоступний станом на 13 жовтня. Дослідники радять у разі можливого компрометування змінити паролі, увімкнути багатофакторну автентифікацію, перевірити підозрілі VPN-входи та користуватися лише офіційними сторінками завантаження програм.

Читати повністю…