Site falso oferece programa legítimo, mas rouba senhas de VPN
Um site falso que imitava a página de downloads da WatchGuard foi usado para roubar credenciais de acesso a redes corporativas sem levantar suspeitas dos usuários. Identificada por pesquisadores da empresa de segurança Huntress, a campanha coletava endereços de servidores VPN, nomes de usuário e senhas antes de oferecer o programa legítimo para instalação.Continua após a publicidadeA investigação começou após a detecção de atividades suspeitas envolvendo um administrador que trabalhava para um provedor de serviços gerenciados. Segundo a Huntress, o usuário havia pesquisado no Bing por um download da VPN da WatchGuard e acessado uma página fraudulenta que reproduzia a aparência do site oficial da empresa.Site falso coletava credenciais duas vezesO endereço apresentava uma suposta página de download do Mobile VPN with SSL. Para prosseguir com a instalação, o visitante precisava preencher um formulário com o endereço do servidor, o nome de usuário e a senha, informações que também são solicitadas pelo cliente legítimo.Ao enviar os dados, porém, o usuário os transmitia para outro domínio, controlado pelos responsáveis pela operação. As informações coletadas poderiam ser utilizadas para tentar acessar a rede da organização.O mecanismo malicioso ainda rejeitava o primeiro envio do formulário e apagava os campos preenchidos, levando a vítima a inserir as credenciais novamente. Dessa forma, os criminosos poderiam obter mais de uma tentativa de captura das senhas.De acordo com a Huntress, o domínio usado para oferecer o download foi registrado em 22 de agosto de 2026, enquanto o endereço responsável pela coleta das credenciais surgiu em 14 de setembro do mesmo ano. A WatchGuard já havia relatado o endereço semelhante em janeiro, mas, naquela ocasião, os pesquisadores não encontraram um mecanismo funcional que conduzisse os visitantes pelo processo fraudulento.
A WatchGuard é uma empresa de segurança cibernética que oferece soluções de proteção de redes, firewalls, VPNs e segurança de endpoints para empresas – Imagem: Reprodução
Programa original ajudava a esconder o golpe
Depois de coletar as informações, o site iniciava o download do software diretamente da rede oficial de distribuição de conteúdo da WatchGuard, em vez de fornecer um instalador falsificado. O arquivo correspondia à versão 12.11.5 do Mobile VPN with SSL e apresentava uma assinatura digital válida da WatchGuard Technologies, com data de 4 de novembro de 2025.A Huntress verificou que o instalador não havia sido alterado depois da assinatura. Portanto, os investigadores não encontraram evidências de modificações no executável legítimo.A estratégia difere de ataques que distribuem instaladores adulterados ou bibliotecas maliciosas, arquivos que podem ser identificados por ferramentas de proteção de endpoints. Nesse caso, como o roubo das credenciais ocorria diretamente pelo navegador, o download do programa original ajudava a reduzir as suspeitas.Continua após a publicidadeA investigação não identificou nenhum download registrado no servidor oficial durante o incidente analisado. Isso sugere que o usuário talvez não tenha concluído as duas tentativas de envio das credenciais. A equipe de operações de segurança foi alertada 21 segundos após o carregamento do site, o que permitiu fornecer orientações de resposta antes que os investigadores observassem uma escalada adicional da atividade.A Huntress informou que o principal domínio fraudulento estava fora do ar em 13 de outubro. Essa condição, no entanto, não confirma que toda a infraestrutura relacionada à operação também tenha sido desativada.Como reduzir os riscosA recomendação para organizações que possam ter sido afetadas é redefinir as senhas comprometidas, habilitar a autenticação multifator e verificar se houve acessos suspeitos à VPN. Também é indicado orientar os funcionários a obter programas somente por meio das páginas oficiais dos fornecedores.Continua após a publicidadeO caso mostra como uma página de download pode ser utilizada para capturar informações sensíveis mesmo quando o arquivo oferecido ao visitante é legítimo. Nesse tipo de abordagem, o comprometimento ocorre durante o preenchimento do formulário, antes da instalação do software.
Ana Luiza Figueiredo
Ana Figueiredo é editora de tecnologia do Olhar Digital. É formada em Jornalismo pela Universidade Federal de Uberlândia (UFU).
Ver todos os artigos →
