Um alerta recente da Huntress revelou uma campanha de phishing sofisticada que explora um site falso da WatchGuard para roubar credenciais de VPN. O ataque, que utiliza um mecanismo de “engano duplo”, destaca-se por empregar um programa aparentemente legítimo para subtrair as senhas, adicionando uma camada extra de dissimulação e dificultando a detecção do golpe.
Descoberta do Site Falso e Alerta da Huntress
Pesquisadores da empresa de segurança Huntress identificaram uma campanha de phishing que empregava um site falso, mimetizando a página de downloads da WatchGuard, para subtrair credenciais de acesso a redes corporativas. Esta operação visava coletar endereços de servidores VPN, nomes de usuário e senhas dos alvos, para, em seguida, oferecer o programa legítimo da WatchGuard, evitando levantar suspeitas.
A investigação da Huntress foi desencadeada pela detecção de atividades suspeitas envolvendo um administrador de um provedor de serviços gerenciados (MSP). Segundo a análise da empresa, o usuário em questão havia realizado uma busca no Bing pelo download da VPN da WatchGuard e, consequentemente, foi direcionado e acessou uma página fraudulenta que replicava fielmente a interface e a aparência do site oficial da WatchGuard.
O site falso apresentava uma suposta página de download para o ‘Mobile VPN with SSL’. Para prosseguir com a instalação, as vítimas eram instruídas a preencher um formulário solicitando o endereço do servidor, nome de usuário e senha – informações que são rotineiramente solicitadas também pelo cliente VPN legítimo. Ao submeter esses dados, no entanto, as informações eram transmitidas para um domínio distinto, sob controle dos operadores da fraude, permitindo a coleta das credenciais.
Um mecanismo adicional de engenharia social foi implementado para maximizar a coleta de dados. Após o primeiro envio do formulário, o sistema malicioso rejeitava a submissão inicial e apagava os campos preenchidos, induzindo a vítima a inserir as credenciais uma segunda vez. Esta tática permitia aos criminosos obter múltiplas tentativas de captura das senhas, aumentando a probabilidade de sucesso.
A análise da Huntress revelou que o domínio utilizado para hospedar o download fraudulento foi registrado em 22 de agosto de 2026, enquanto o endereço responsável pela coleta das credenciais surgiu em 14 de setembro do mesmo ano. É importante notar que a própria WatchGuard já havia relatado um endereço similar em janeiro anterior, contudo, naquela ocasião, pesquisadores não haviam encontrado um mecanismo funcional que orquestrasse o processo fraudulento completo.
Um aspecto crucial que ajudava a camuflar o golpe era o fato de que, após a coleta bem-sucedida das credenciais, o site malicioso iniciava o download do software diretamente da rede oficial de distribuição de conteúdo (CDN) da WatchGuard. O arquivo baixado correspondia à versão 12.11.5 do Mobile VPN with SSL, possuía uma assinatura digital válida da WatchGuard Technologies (datada de 4 de novembro de 2025) e, conforme verificado pela Huntress, não havia sido alterado após a assinatura. Essa estratégia diferia de ataques que distribuem instaladores adulterados, pois o roubo das credenciais ocorria no navegador antes do download legítimo, tornando a detecção por ferramentas de proteção de endpoints mais desafiadora.
Mecanismo de Roubo de Credenciais e Engano Duplo
O mecanismo de roubo de credenciais empregado na campanha de phishing da WatchGuard baseava-se na replicação fidedigna de uma página de download legítima do software Mobile VPN with SSL. Os usuários eram direcionados a este site falso, onde um formulário solicitava informações cruciais para acesso à VPN, incluindo o endereço do servidor, nome de usuário e senha. Contrariamente à expectativa do usuário, ao submeter esses dados, eles eram desviados e transmitidos para um domínio sob controle dos cibercriminosos, em vez de serem processados pela infraestrutura legítima da WatchGuard.
A estratégia de engano duplo amplificava a eficácia do ataque. Após a primeira tentativa de envio do formulário, o site fraudulento exibia uma falsa rejeição das credenciais e apagava os campos preenchidos. Este artifício levava a vítima a acreditar em um erro momentâneo e a reinserir as informações solicitadas. Com essa manobra, os atacantes obtinham uma segunda oportunidade de capturar as credenciais, aumentando significativamente as chances de coletar os dados corretos ou múltiplas variações de senhas, além de reduzir qualquer suspeita inicial do usuário.
Para consolidar a ilusão de legitimidade e evitar que a vítima desconfiasse da fraude, o processo culminava com o download do software legítimo. Após a coleta bem-sucedida das credenciais (frequentemente em dobro), o site falso iniciava o download direto do cliente Mobile VPN with SSL da WatchGuard, utilizando a rede oficial de distribuição de conteúdo da empresa. O instalador baixado era original, não adulterado e possuía uma assinatura digital válida, garantindo que o usuário recebesse um programa funcional e afastando quaisquer indícios de que suas informações haviam sido roubadas anteriormente.
O Papel do Software Legítimo na Dissimulação do Golpe
Análise dos Domínios Maliciosos e Cronologia do Ataque
Medidas Essenciais para Reduzir Riscos e Proteger a VPN
Fonte: https://olhardigital.com.br
Yuri Martins é um entusiasta em tecnologia apaixonado por explorar as últimas tendências e inovações do setor. Desde a infância, ele se fascina com a capacidade da tecnologia de transformar vidas. Com vasto conhecimento, Yuri compartilha dicas e insights em seu blog e redes sociais, tornando a tecnologia mais acessível para todos.
