VPN falso, instalador auténtico y contraseñas robadas
Un sitio fraudulento que se hacía pasar por una página de descarga de WatchGuard VPN robaba credenciales de acceso a la red corporativa, pero ofrecía a los usuarios un archivo de instalación auténtico. Por eso, la instalación parecía normal y no daba motivos evidentes para sospechar del engaño, según informaron especialistas de Huntress, una empresa dedicada a investigar incidentes cibernéticos.
La investigación comenzó tras detectarse actividad sospechosa en la cuenta de un administrador que trabajaba para un proveedor de servicios de TI gestionados (managed service provider, MSP). La revisión reveló que, poco antes, el usuario había buscado en Bing el instalador de WatchGuard VPN y había accedido a un sitio falso que se parecía a las páginas oficiales de descarga del fabricante.
El sitio watchguard-vpn[.]net ofrecía descargar el cliente VPN móvil con SSL, un protocolo de conexión segura. Antes de iniciar la descarga, pedía al visitante la dirección del servidor, el nombre de usuario y la contraseña. Esos datos son realmente necesarios para configurar un cliente VPN auténtico, por lo que el formulario parecía de lo más normal.
Sin embargo, los datos introducidos no se enviaban a WatchGuard, sino al dominio independiente watchguard-ssl[.]online, donde los recopilaban los atacantes. Según los investigadores, las credenciales obtenidas podían utilizarse para acceder a la red de la organización. Un script malicioso rechazaba el primer envío y borraba los campos, obligando al usuario a volver a introducir los datos. Así, los atacantes podían obtener varias versiones de la contraseña.
Según Huntress, el dominio de descarga falso se registró el 22 de agosto de 2026, mientras que el dominio utilizado para recopilar credenciales apareció el 14 de septiembre. WatchGuard ya había informado de una dirección similar en enero, pero entonces los investigadores no detectaron un mecanismo activo que condujera a los visitantes por el proceso de descarga fraudulento descrito.
Tras el segundo envío del formulario, el sitio iniciaba la descarga desde la red oficial de distribución de contenidos de WatchGuard —CDN, es decir, la infraestructura que entrega archivos a los usuarios—. Se trataba del cliente auténtico Mobile VPN with SSL, versión 12.11.5, con una firma digital válida de WatchGuard Technologies. La marca de tiempo de la firma era del 4 de noviembre de 2025.
Huntress examinó el archivo y no encontró modificaciones posteriores a la firma. En otras palabras, no hay pruebas de que los atacantes alteraran el instalador oficial. Esto diferencia el método de los ataques que sustituyen instaladores o emplean bibliotecas maliciosas: los sistemas de seguridad pueden detectar esos elementos al analizar el propio archivo. En este caso, el robo se producía en el navegador, antes de descargar el software limpio, y la instalación podía completarse con normalidad.
Según la investigación, durante el incidente analizado no se registró ninguna descarga desde el servidor oficial. Esto podría significar que el usuario no llegó a enviar las credenciales dos veces ni a completar todo el proceso. El sistema de Huntress detectó la actividad 21 segundos después de que se abriera el sitio fraudulento; el equipo de monitorización de seguridad pudo transmitir recomendaciones para contener el incidente antes de que los investigadores observaran una mayor progresión del ataque.
Para el 13 de octubre, el principal dominio falso ya no funcionaba. Sin embargo, eso no demuestra que la infraestructura relacionada también se haya desactivado o no esté disponible bajo otras direcciones.
Las organizaciones cuyos datos pudieran haberse introducido en un sitio de este tipo deberían cambiar las contraseñas comprometidas, activar la autenticación multifactor y revisar los registros de conexiones VPN para detectar accesos sospechosos. Los empleados deberían descargar programas únicamente desde las páginas oficiales del fabricante. En esta historia, el instalador era auténtico: los falsos eran quienes pidieron primero la contraseña.
PEREC.RU
Los ciberdelincuentes crearon un sitio que imitaba la página de descarga de WatchGuard VPN para robar credenciales de acceso a redes corporativas. A las víctimas les ofrecían, eso sí, un instalador auténtico, así que descargar e instalar el programa con normalidad no delataba el fraude.
Los especialistas de Huntress iniciaron la investigación tras detectar actividad sospechosa en la cuenta de un administrador que trabajaba para un proveedor de servicios de TI gestionados. Antes, el usuario había buscado en Bing una descarga de WatchGuard VPN y había visitado watchguard-vpn[.]net, un sitio que parecía una página oficial del fabricante. La página ofrecía descargar el cliente VPN móvil con SSL y solicitaba la dirección del servidor, el nombre de usuario y la contraseña: datos necesarios para configurar una VPN.
La información introducida se enviaba al dominio independiente watchguard-ssl[.]online, donde la recibían los atacantes. Un script rechazaba el primer envío y borraba los campos del formulario, obligando a la víctima a volver a introducir las credenciales. Así, los atacantes podían recopilar varias versiones de la contraseña.
A continuación, el sitio iniciaba una descarga desde la red oficial de distribución de contenidos de WatchGuard. El archivo resultó ser el cliente auténtico Mobile VPN with SSL, versión 12.11.5, con una firma digital válida de WatchGuard Technologies y una marca de tiempo del 4 de noviembre de 2025. Huntress confirmó que el instalador no había cambiado después de firmarse; los investigadores no encontraron indicios de que se hubiera introducido código malicioso en el archivo oficial.
Este método se diferencia de los ataques que sustituyen instaladores o utilizan bibliotecas maliciosas: esos elementos pueden detectarse cuando las soluciones de seguridad analizan los archivos. Aquí, las credenciales se robaban directamente a través del navegador, antes de descargar el programa auténtico. Por eso, la instalación podía completarse sin problemas y el usuario no tenía por qué darse cuenta de que ya le habían robado la contraseña.
Según Huntress, el dominio de descarga falso se registró el 22 de agosto de 2026 y el dominio de recopilación de credenciales, el 14 de septiembre. WatchGuard ya había informado de una dirección similar en enero, pero en aquel momento los investigadores no hallaron un mecanismo activo que guiara a los visitantes por esta maniobra fraudulenta.
Durante el incidente analizado no se registró ninguna descarga desde el servidor oficial. Esto podría indicar que el usuario no completó los dos envíos de datos. El sistema detectó actividad sospechosa 21 segundos después de abrirse el sitio, y el equipo de seguridad pudo ofrecer recomendaciones antes de que los especialistas observaran una escalada posterior.
Para el 13 de octubre, el principal dominio falso ya estaba desconectado. Sin embargo, eso no confirma por sí solo que la infraestructura relacionada también hubiera dejado de funcionar o que no se utilizara bajo otras direcciones.
Recomendaciones para las organizaciones: cambiar las contraseñas que podrían haberse filtrado, activar la autenticación multifactor y revisar los registros de conexiones VPN en busca de accesos sospechosos. Los empleados deberían descargar software únicamente desde las páginas oficiales del fabricante.
