WatchGuard’ın resmi indirme sayfalarını taklit eden bir site, VPN sunucu adresi ve kullanıcı giriş bilgilerini ele geçirmeye çalıştı. Huntress’ın incelemesine göre saldırganlar, bilgileri aldıktan sonra kullanıcıya orijinal VPN kurulum paketini sunarak şüpheleri azaltmayı hedefledi.
Sahte form bilgileri başka bir alana gönderdi
Saldırıda watchguard-vpn[.]net adresindeki sahte sayfa kullanıldı. Sayfa, VPN sunucu adresi, kullanıcı adı ve şifre bilgilerini isteyen bir form gösterdi; gönderilen veriler saldırganların kontrolündeki watchguard-ssl[.]online alan adına aktarıldı.
İlk bilgi girişini kabul etmeyen sistem, kullanıcıdan bilgileri yeniden girmesini istedi. Bu yöntem saldırganların birden fazla şifre denemesini elde etmesine imkân tanıdı.
Huntress, sahte indirme alan adının 22 Ağustos 2026’da kaydedildiğini, kimlik bilgilerini toplayan diğer alan adının ise 14 Eylül’de ortaya çıktığını belirledi. Kullanıcı ikinci kez veri girdikten sonra site, WatchGuard’ın resmi içerik dağıtım ağından kurulum paketini indiriyordu.
Kullanıcıya orijinal VPN yazılımı sunuldu
İndirilen dosya, WatchGuard Technologies tarafından dijital olarak imzalanmış Mobile VPN with SSL istemcisinin 12.11.5 sürümü olarak görünüyordu. Huntress, dosyanın orijinal olduğunu ve üzerinde değişiklik yapılmadığını doğruladı. Bu nedenle saldırı, değiştirilmiş ya da zararlı yazılım dağıtımına dayanan yöntemlerden ayrılıyor; gerçek kurulum paketinin sunulması, kimlik bilgilerinin ele geçirildiğinin fark edilmesini zorlaştırabiliyor.
Huntress ana alan adının çevrimdışı olduğunu bildirdi
Saldırı tarayıcı üzerinden yürütüldüğü için bazı uç nokta koruma ürünlerinin bunu tespit edemediği belirtildi. Huntress, ana sahte alan adının 13 Ekim itibarıyla çevrimdışı olduğunu bildirdi.
Olası bir ihlal durumunda kuruluşlara tüm şifreleri sıfırlamaları ve çok faktörlü kimlik doğrulamayı etkinleştirmeleri öneriliyor. Ayrıca VPN girişlerindeki şüpheli hareketlerin incelenmesi ve çalışanların yalnızca resmi yazılım indirme sayfalarına yönlendirilmesi gerekiyor.
