سایت دانلود جعلی VPN اعتبار مدیر را می دزدد تا به مهاجمان دسترسی مستقیم به شبکه های شرکتی بدهد - اما نرم افزار رسمی امضا شده را ارائه می دهد تا قربانیان هرگز به چیزی مشکوک نشوند.

وب‌سایت جعلی WatchGuard VPN در حین ارائه نرم‌افزار قانونی، اعتبار مدیر را می‌دزدد

مهاجمان آدرس سرور VPN، نام کاربری و رمز عبور را جمع آوری کردند

این وب‌سایت تقلبی، ارسال‌های اولیه را برای جمع‌آوری اعتبارنامه برای بار دوم رد کرد کارشناسان ادعا کرده‌اند که یک وب‌سایت دانلود تقلبی WatchGuard هنگام ارائه بسته نصب معتبر، جزئیات ورود VPN را به سرقت برده است.

محققان امنیتی در Huntress این فعالیت را در دامنه‌ای مشابه دنبال کردند که قبل از دانلود مشتری قانونی، جزئیات اتصال را جمع‌آوری می‌کرد.

تحقیقات پس از شناسایی فعالیت مشکوک مربوط به مدیری که برای یک ارائه دهنده خدمات مدیریت شده کار می کرد، آغاز شد.

صفحات دانلود جعلی اعتبار کاربری را جمع آوری می کنند

محققان دریافتند که کاربر قبل از بازدید از یک وب سایت فریبنده که شبیه صفحات دانلود رسمی فروشنده طراحی شده بود، بینگ را برای دانلود WatchGuard VPN جستجو کرده است.

وب‌سایت، watchguard-vpn[.]net، یک VPN تلفن همراه با دانلود SSL ارائه می‌دهد و فرمی را نشان می‌دهد که آدرس سرور، نام کاربری و رمز عبور را درخواست می‌کند.

این جزئیات با اطلاعات مورد نیاز مشتری VPN واقعی مطابقت دارد و باعث می شود درخواست مطابق با فرآیند نصب معمولی باشد.

با ارسال فرم، اطلاعات به یک دامنه جداگانه به نام watchguard-ssl[.]آنلاین منتقل شد، جایی که مهاجمان اعتبارنامه ها را برای استفاده احتمالی علیه شبکه سازمان جمع آوری کردند.

اسکریپت مخرب اولین ارسال را رد کرد و فیلدها را پاک کرد، و قربانی را وادار کرد که دوباره اطلاعات را وارد کند و به طور بالقوه به مهاجمان چندین تلاش برای رمز عبور ارائه دهد.

Huntress فاش کرد که اپراتورها دامنه دانلود را در 22 آگوست 2026 ثبت کردند، در حالی که دامنه مجموعه اعتبار در 14 سپتامبر ظاهر شد.

WatchGuard قبلا این آدرس مشابه را در ژانویه گزارش کرده بود، اگرچه محققان هیچ مکانیسم عملکردی برای هدایت بازدیدکنندگان از طریق فرآیند دانلود جعلی پیدا نکردند.

نرم افزار اصلی به پنهان کردن سرقت اعتبار کمک می کند

پس از جمع آوری دومین ارسال، وب سایت به جای ارائه یک بسته نصب تقلبی، اقدام به دانلود از شبکه رسمی تحویل محتوای WatchGuard کرد.

این فایل موبایل VPN با کلاینت SSL نسخه 12.11.5 بود که دارای امضای دیجیتال معتبر از WatchGuard Technologies و مهر زمانی مورخ 4 نوامبر 2025 بود.

هانترس تأیید کرد که نصب کننده پس از امضا بدون تغییر باقی مانده است، به این معنی که بازرسان هیچ مدرکی دال بر اینکه مهاجمان فایل اجرایی قانونی را تغییر داده اند، پیدا نکردند.

این رویکرد با کمپین‌هایی که نصب‌کننده‌های دستکاری شده یا کتابخانه‌های مخرب را توزیع می‌کنند، که محصولات محافظت از نقطه پایانی ممکن است از طریق بازرسی فایل شناسایی شوند، متفاوت است.

دانلود معتبر همچنین دلیل کمی به قربانیان می دهد که گمان کنند اعتبار آنها قبلا در معرض خطر قرار گرفته است، زیرا نصب می تواند به طور معمول پس از آن ادامه یابد.

هانترس هیچ بارگیری ضبط شده ای از سرور رسمی در طول حادثه مورد بررسی پیدا نکرد، که نشان می دهد کاربر ممکن است هر دو مدارک اعتباری را تکمیل نکرده باشد.

شناسایی 21 ثانیه پس از بارگیری وب سایت مخرب به دست آمد و به تیم عملیات امنیتی اجازه داد تا قبل از مشاهده تشدید بیشتر توسط بازرسان، راهنمایی های اصلاحی ارائه دهند.

هانترس گزارش داد که دامنه اصلی فریبنده تا 13 اکتبر آفلاین بود، اگرچه این وضعیت مشخص نمی کند که آیا زیرساخت مرتبط در جاهای دیگر فعال است یا خیر.

این حمله از بررسی بسیاری از بدافزارها جلوگیری می کند زیرا وب سایت جعلی قبل از دانلود نرم افزار اصلی، اعتبار VPN را از طریق مرورگر به سرقت می برد.

سازمان‌ها باید گذرواژه‌های به خطر افتاده را بازنشانی کنند، احراز هویت چند عاملی را فعال کنند، ورودهای مشکوک VPN را بررسی کنند و کارمندان را به صفحات رسمی دانلود نرم‌افزار هدایت کنند.