Sahte WatchGuard VPN sitesi yönetici bilgilerini topladı

Huntress araştırmacıları, bir MSP’de çalışan yöneticiyi içeren şüpheli etkinliğin ardından WatchGuard VPN indirmesi gibi görünen bir alan adını inceledi. İncelemede, kullanıcının Bing’de WatchGuard VPN indirmesi araması yaptıktan sonra aldatıcı bir siteye yönlendirildiği belirlendi.

Aldatıcı site watchguard-vpn[.]net alan adını kullanıyordu ve “SSL ile mobil VPN” olduğu iddia edilen bir indirme sunuyordu. Sayfa, VPN sunucu adresi, kullanıcı adı ve parola isteyen bir form gösterdi.

Form iki kez bilgi istedi

Formda istenen bilgiler, gerçek WatchGuard VPN istemcisinin ihtiyaç duyduğu bilgilerle aynıydı. Form gönderildiğinde bilgiler watchguard-ssl[.]online alan adına iletildi ve saldırganların bu alan adı üzerinden VPN sunucu adreslerini, kullanıcı adlarını ve parolaları topladığı belirtildi.

Huntress, kötü amaçlı betiğin ilk form gönderimini reddedip alanları temizleyerek kurbanı bilgileri ikinci kez girmeye yönlendirdiğini aktardı. Bu yöntemin, gerçek yazılım indirilmeden önce tarayıcı üzerinden VPN kimlik bilgilerini çalmaya dayandığı ifade edildi.

Sahte indirme sayfası, şüphe çekmemek için kurbana WatchGuard’ın imzalı resmi yükleyicisini indirdi.

Resmi, imzalı yükleyici indirtti

Araştırmacılara göre site, ikinci bilgi girişinden sonra sahte bir kurulum paketi vermek yerine WatchGuard’ın resmi içerik dağıtım ağı üzerinden indirmeyi başlattı. İndirilen dosya “Mobile VPN with SSL client” 12.11.5 sürümüydü ve WatchGuard Technologies’e ait geçerli bir dijital imza taşıyordu.

Dosyanın zaman damgası 4 Kasım 2025 tarihini gösteriyordu. Huntress, imzalandıktan sonra yükleyicide değişiklik olmadığını doğruladığını ve saldırganların meşru çalıştırılabilir dosyayı değiştirdiğine dair kanıt bulmadığını söyledi.