Um site falso que imitava a página de downloads da WatchGuard foi usado para roubar credenciais de acesso a redes corporativas sem levantar suspeitas dos usuários. Identificada por pesquisadores da empresa de segurança Huntress, a campanha coletava endereços de servidores VPN, nomes de usuário e senhas antes de oferecer o programa legítimo para instalação.

Continua após a publicidade

A investigação começou após a detecção de atividades suspeitas envolvendo um administrador que trabalhava para um provedor de serviços gerenciados. Segundo a Huntress, o usuário havia pesquisado no Bing por um download da VPN da WatchGuard e acessado uma página fraudulenta que reproduzia a aparência do site oficial da empresa.

Site falso coletava credenciais duas vezes

O endereço apresentava uma suposta página de download do Mobile VPN with SSL. Para prosseguir com a instalação, o visitante precisava preencher um formulário com o endereço do servidor, o nome de usuário e a senha, informações que também são solicitadas pelo cliente legítimo.

Ao enviar os dados, porém, o usuário os transmitia para outro domínio, controlado pelos responsáveis pela operação. As informações coletadas poderiam ser utilizadas para tentar acessar a rede da organização.

O mecanismo malicioso ainda rejeitava o primeiro envio do formulário e apagava os campos preenchidos, levando a vítima a inserir as credenciais novamente. Dessa forma, os criminosos poderiam obter mais de uma tentativa de captura das senhas.

De acordo com a Huntress, o domínio usado para oferecer o download foi registrado em 22 de agosto de 2026, enquanto o endereço responsável pela coleta das credenciais surgiu em 14 de setembro do mesmo ano. A WatchGuard já havia relatado o endereço semelhante em janeiro, mas, naquela ocasião, os pesquisadores não encontraram um mecanismo funcional que conduzisse os visitantes pelo processo fraudulento.

Programa original ajudava a esconder o golpe

Depois de coletar as informações, o site iniciava o download do software diretamente da rede oficial de distribuição de conteúdo da WatchGuard, em vez de fornecer um instalador falsificado. O arquivo correspondia à versão 12.11.5 do Mobile VPN with SSL e apresentava uma assinatura digital válida da WatchGuard Technologies, com data de 4 de novembro de 2025.

A Huntress verificou que o instalador não havia sido alterado depois da assinatura. Portanto, os investigadores não encontraram evidências de modificações no executável legítimo.

A estratégia difere de ataques que distribuem instaladores adulterados ou bibliotecas maliciosas, arquivos que podem ser identificados por ferramentas de proteção de endpoints. Nesse caso, como o roubo das credenciais ocorria diretamente pelo navegador, o download do programa original ajudava a reduzir as suspeitas.

Continua após a publicidade

A investigação não identificou nenhum download registrado no servidor oficial durante o incidente analisado. Isso sugere que o usuário talvez não tenha concluído as duas tentativas de envio das credenciais. A equipe de operações de segurança foi alertada 21 segundos após o carregamento do site, o que permitiu fornecer orientações de resposta antes que os investigadores observassem uma escalada adicional da atividade.

A Huntress informou que o principal domínio fraudulento estava fora do ar em 13 de outubro. Essa condição, no entanto, não confirma que toda a infraestrutura relacionada à operação também tenha sido desativada.

Como reduzir os riscos

A recomendação para organizações que possam ter sido afetadas é redefinir as senhas comprometidas, habilitar a autenticação multifator e verificar se houve acessos suspeitos à VPN. Também é indicado orientar os funcionários a obter programas somente por meio das páginas oficiais dos fornecedores.

Continua após a publicidade

O caso mostra como uma página de download pode ser utilizada para capturar informações sensíveis mesmo quando o arquivo oferecido ao visitante é legítimo. Nesse tipo de abordagem, o comprometimento ocorre durante o preenchimento do formulário, antes da instalação do software.