Cibercriminosos montaram um site falso do suporte da WatchGuard para roubar endereço de servidor, usuário e senha de VPN antes de entregar o instalador real. A Huntress achou a página ao investigar um incidente de 7 de outubro em um provedor de serviços gerenciados.
A vítima chegou lá por busca no Bing pelos termos watchguard vpn sll download, com redirecionamento normal a partir do resultado. Os pesquisadores atribuem o caso a envenenamento de SEO, e não a anúncio pago malicioso.
O endereço usado era watchguard-vpn.net. A página reproduzia a estrutura de suporte do fabricante, com perguntas frequentes e botão de download, e esse botão levava a um formulário que pedia os campos Server, Login e Password.
O truque está na resposta. A primeira tentativa é sempre rejeitada com a mensagem Incorrect data, o que induz a vítima a digitar tudo de novo. Só na segunda um link oculto libera o cliente legítimo, o WG-MVPN-SSL_12_11_5.exe, com assinatura digital válida.
A coleta é feita por um script de cerca de 150 linhas, que envia os dados em JSON por HTTP POST para um segundo domínio. Erro de rede nessa etapa gera apenas um aviso no console do navegador, sem nada visível na página.
O resultado é um usuário com o cliente correto instalado e nenhum sinal de problema, enquanto as credenciais já estão com os atacantes. Nenhum malware foi entregue, e a página saiu do ar em 13 de outubro. O rodapé do site se declarava fan site independente.
A recomendação é trocar as senhas expostas, tratar os endereços de servidor informados como conhecidos pelo atacante, exigir autenticação multifator e revisar logins de VPN fora do padrão. O download deve sair do portal oficial, por favorito e nunca por busca.
