Um site fraudulento que simulava a página de downloads da WatchGuard foi utilizado para capturar credenciais de acesso a redes corporativas sem levantar suspeitas entre os usuários. A campanha foi descoberta por especialistas da Huntress, que identificaram que o portal coletava informações como nomes de usuário, senhas e endereços de servidores VPN antes de disponibilizar o software legítimo para instalação.
A análise teve início após a identificação de atividades incomuns relacionadas a um administrador de um provedor de serviços gerenciados. Conforme relatado pela Huntress, esse usuário realizou uma busca no Bing para baixar a VPN da WatchGuard e acabou acessando uma página falsa que imitava o site oficial da empresa.
Página fraudulenta capturava credenciais em duplicidade
O site apresentava uma suposta seção de download do Mobile VPN with SSL. Para avançar na instalação, o visitante era solicitado a preencher um formulário que incluía o endereço do servidor, além do nome de usuário e senha — informações requeridas também pelo cliente autêntico.
Entretanto, ao submeter os dados, as informações eram redirecionadas para um domínio controlado pelos golpistas. Esses dados poderiam ser explorados para tentar invadir a rede da empresa.
Além disso, o mecanismo malicioso rejeitava o primeiro envio do formulário e limpava os campos preenchidos, persuadindo a vítima a fornecer suas credenciais novamente. Esse método permitia que os criminosos tentassem capturar as senhas mais de uma vez.
Segundo a Huntress, o domínio utilizado para disponibilizar o download foi registrado em 22 de agosto de 2026, enquanto o endereço envolvido na coleta das credenciais foi criado em 14 de setembro do mesmo ano. A WatchGuard já havia sinalizado um domínio semelhante em janeiro anterior, mas naquela ocasião os pesquisadores não encontraram um sistema funcional que levasse os usuários pelo processo enganoso.
Software original disfarçava o golpe
Após obter as informações dos usuários, o site iniciava automaticamente o download do software diretamente da rede oficial da WatchGuard, ao invés de fornecer um instalador falso. O arquivo correspondia à versão 12.11.5 do Mobile VPN with SSL e possuía uma assinatura digital válida da WatchGuard Technologies datada de 4 de novembro de 2025.
A Huntress constatou que não houve alterações no instalador após sua assinatura. Assim sendo, não foram encontradas evidências que indicassem modificações no executável genuíno.
Essa abordagem é distinta dos ataques que distribuem instaladores alterados ou bibliotecas maliciosas, as quais podem ser detectadas por soluções de segurança para endpoints. Neste caso específico, como o roubo das credenciais acontecia diretamente pelo navegador, o download do programa original ajudava a evitar desconfianças.
Durante a investigação, não foram registrados downloads no servidor oficial durante o incidente analisado. Isso indica que o usuário pode não ter completado as duas tentativas de envio das credenciais. A equipe responsável pela segurança foi notificada apenas 21 segundos após o carregamento do site, permitindo ações corretivas antes que se verificasse uma intensificação nas atividades maliciosas.
A Huntress confirmou que o domínio principal utilizado para essa fraude estava fora do ar desde 13 de outubro. Contudo, essa situação não garante que toda a infraestrutura associada à operação tenha sido desativada.
Estratégias para mitigar riscos
Para organizações potencialmente afetadas, recomenda-se alterar as senhas comprometidas, ativar a autenticação multifatorial e investigar acessos suspeitos à VPN. Além disso, é aconselhável instruir os colaboradores a adquirir programas exclusivamente através das páginas oficiais dos fornecedores.
Este incidente ilustra como uma página destinada ao download pode ser manipulada para capturar dados sensíveis mesmo quando oferece um arquivo legítimo aos visitantes. Nesse tipo de ataque, a violação ocorre durante o preenchimento do formulário antes mesmo da instalação do software.
O post Site falso oferece programa legítimo, mas rouba senhas de VPN apareceu primeiro em Olhar Digital.