Um ataque de falsificação da rede privada virtual (VPN) da WatchGuard rouba credenciais de conexão no navegador antes de entregar o instalador genuíno e assinado digitalmente do fabricante.
A campanha remove o executável malicioso da cadeia de download, deixando as vítimas com software legítimo. Ao mesmo tempo, os invasores coletam informações necessárias para tentar acessar a VPN sem autorização.
A isca, watchguard-vpn[.]net, se passava por uma VPN móvel da WatchGuard, com um portal de download que utilizava SSL (Camada de Sockets Seguros). Sua solicitação no navegador pedia o endereço do servidor VPN, o nome de usuário e a senha.
De acordo com a investigação da Huntress fornecida, o domínio estava fora do ar em 13 de outubro, após um incidente detectado em 7 de outubro.
A navegação passou pelo redirecionamento padrão de resultados de busca do Bing. Somado ao posicionamento do site nas buscas, isso indica uma isca de envenenamento de SEO (otimização para mecanismos de busca), e não evidência de um anúncio malicioso pago.
Os botões de download em watchguard-vpn[.]net/index.php abriam uma janela solicitando “Servidor”, “Login” e “Senha”.
Esses campos espelhavam os requisitos legítimos de conexão VPN, tornando a solicitação plausível e fornecendo aos invasores tanto os dados de autenticação quanto o gateway do alvo.
A lógica de coleta estava no popup.js, com cerca de 150 linhas de JavaScript não ofuscado. Ele empacotava os valores enviados em JSON (Notação de Objetos JavaScript) e os enviava por meio de uma requisição HTTP POST (método do Protocolo de Transferência de Hipertexto) para watchguard-ssl[.]online, rotulando os envios como “first” ou “second”.
Site falso da WatchGuard VPN
Pesquisadores da Huntress observaram que o incidente começou quando um administrador de um provedor de serviços gerenciados pesquisou no Bing por “watchguard vpn sll download”.
Oito segundos depois, o administrador acessou o site de imitação, intitulado “WatchGuard Firebox VPN Client”.
A primeira submissão foi deliberadamente rejeitada com a mensagem “Dados incorretos, insira novamente para iniciar a instalação”. O script limpou os três campos, incentivando uma nova tentativa.
Isso poderia capturar credenciais corrigidas ou uma senha alternativa, embora essa intenção continue sendo uma avaliação analítica.
Após a segunda submissão, a janela exibiu “A instalação do cliente VPN foi iniciada”. Em seguida, o JavaScript acionou o download do arquivo WG-MVPN-SSL_12_11_5.exe diretamente do domínio cdn.watchguard.com, que utiliza uma rede de distribuição de conteúdo (CDN).
A chamada de download está envolvida em um bloco try/catch, que apenas registra um aviso no console em caso de falha. Assim, mesmo que o coletor esteja fora do ar, o usuário não percebe nada incomum.
A Huntress identificou o arquivo como o instalador Inno Setup do WatchGuard Mobile VPN com SSL 12.11.5.
Sua assinatura Authenticode (sistema de assinatura digital de código da Microsoft) identificava a WatchGuard Technologies, Inc., com a Sectigo Public Code Signing CA R36 como emissora e um carimbo de contrassinatura datado de 4 de novembro de 2025.
O valor de hash SHA-256 (resumo criptográfico) recalculado para a assinatura coincidiu com o valor assinado, indicando que o executável não havia sido modificado após a assinatura.
Portanto, o instalador não era o componente malicioso: o roubo de credenciais ocorreu antes, dentro da própria página da web.
No incidente investigado, o histórico do navegador não mostrou nenhum download correspondente da CDN. Como o download exigia a segunda submissão, isso sugere que o administrador não completou as duas rodadas. A exposição de credenciais da primeira rodada continua possível.
A Huntress informou ter detectado atividade suspeita 21 segundos após o carregamento da página.
A pesquisa da WatchGuard de janeiro já havia identificado watchguard-vpn[.]net, então sem redirecionamento funcional de download.
A investigação mais ampla da WatchGuard também documentou a coleta de dados pelo navegador seguida de downloads legítimos de Fortinet e SonicWall, mostrando que essa técnica vai além da falsificação da WatchGuard.
Em março, a análise da Microsoft atribuiu uma campanha relacionada de VPN falsa ao Storm-2561. Essa operação usava instaladores maliciosos assinados, carregamento lateral de DLL (Biblioteca de Vínculo Dinâmico) e redirecionamento posterior para software genuíno.
As evidências de outubro não estabelecem, de forma independente, a atribuição ao Storm-2561.
O domínio da isca foi registrado novamente em 22 de agosto, enquanto seu coletor foi registrado em 14 de setembro. Os endereços relatados foram 80.249.132[.]140 e 158.94.209[.]19, respectivamente. A continuidade da propriedade permanece não comprovada.
Os defensores devem priorizar downloads verificados do fabricante, proteção de navegador e de rede e autenticação multifator para VPN, em vez de tratar uma assinatura válida de instalador como prova de que o percurso de download anterior era seguro.
A Microsoft recomenda essas proteções contra campanhas relacionadas de roubo de credenciais.
