Фальшивый VPN, настоящий установщик и украденные пароли

Мошеннический сайт, выдававший себя за страницу загрузки WatchGuard VPN, похищал данные для входа в корпоративную сеть, но при этом предлагал пользователям настоящий установочный файл. Из-за этого установка выглядела обычной и не давала очевидного повода заподозрить обман, сообщили специалисты Huntress — компании, занимающейся расследованием киберинцидентов.

Расследование началось после обнаружения подозрительной активности учетной записи администратора, работавшего у поставщика управляемых ИТ-услуг (managed service provider, MSP). Проверка показала, что перед этим пользователь искал в Bing установщик WatchGuard VPN и перешел на поддельный сайт, похожий на официальные страницы загрузки производителя.

На сайте watchguard-vpn[.]net предлагалось скачать мобильный VPN-клиент с SSL — защищенным протоколом соединения. Перед загрузкой посетителя просили указать адрес сервера, имя пользователя и пароль. Эти сведения действительно нужны для настройки настоящего VPN-клиента, поэтому форма выглядела вполне привычно.

Однако введенные данные отправлялись не WatchGuard, а на отдельный домен watchguard-ssl[.]online, где их собирали злоумышленники. По оценке исследователей, полученные учетные данные могли использоваться для доступа к сети организации. Вредоносный скрипт отклонял первую отправку и очищал поля, вынуждая пользователя ввести сведения повторно. Так нападавшие могли получить несколько вариантов пароля.

По данным Huntress, домен для поддельной загрузки зарегистрировали 22 августа 2026 года, а домен для сбора учетных данных появился 14 сентября. WatchGuard сообщала о похожем адресе еще в январе, но тогда исследователи не обнаружили работающего механизма, который проводил бы посетителей через описанную мошенническую загрузку.

После повторной отправки формы сайт запускал загрузку уже с официальной сети распространения контента WatchGuard — CDN, то есть инфраструктуры, которая доставляет файлы пользователям. Это был настоящий клиент Mobile VPN with SSL версии 12.11.5 с действительной цифровой подписью WatchGuard Technologies. Временная метка подписи датирована 4 ноября 2025 года.

Huntress проверила файл и не обнаружила изменений после подписания. Иными словами, доказательств того, что злоумышленники модифицировали официальный установщик, нет. Это отличает схему от атак с подмененными установочными файлами или вредоносными библиотеками: такие объекты защитные системы могут выявить при проверке самого файла. Здесь же кража происходила в браузере, до загрузки чистого ПО, а установка могла завершиться штатно.

По данным расследования, во время изученного инцидента загрузки с официального сервера зафиксировано не было. Это может означать, что пользователь не успел дважды отправить учетные данные и пройти весь сценарий. Система Huntress обнаружила активность через 21 секунду после открытия мошеннического сайта; команда мониторинга безопасности успела передать рекомендации по устранению последствий до того, как исследователи заметили дальнейшее развитие атаки.

К 13 октября основной поддельный домен уже не работал. Однако это не доказывает, что связанная инфраструктура также отключена или недоступна под другими адресами.

Организациям, чьи данные могли быть введены на таком сайте, следует сменить скомпрометированные пароли, включить многофакторную аутентификацию и проверить журналы VPN-подключений на подозрительные входы. Сотрудникам стоит загружать программы только с официальных страниц производителя. В этой истории установщик был подлинным — поддельными оказались те, кто сначала попросил пароль.