Hardware Ready Ready to Bench?
WatchGuard VPN. Ein gezielter Angriff auf Unternehmens-VPNs hat gezeigt, dass allein das Vorhandensein authentischer Software nicht ausreicht, um die Sicherheit zu gewährleisten, insbesondere wenn der Download von einer betrügerischen Webseite erfolgt. Die Forscher von Huntress haben eine Fälschung entdeckt, die WatchGuard nachahmte und darauf ausgelegt war, die Zugangsdaten von Netzwerkadministratoren zu stehlen und ihnen anschließend die legitime Software des Herstellers bereitzustellen.
Die Untersuchung ergab, wie die Täter die Zugangsdaten vor dem eigentlichen Start des Downloads sammelten. Diese Abfolge macht den Betrug besonders tückisch und schwer zu erkennen, selbst für sicherheitsbewusste Nutzer. Die Installation der Software erschien regulär und hinterließ nicht unbedingt offensichtliche Spuren einer Kompromittierung.
WatchGuard VPN: Warum das wichtig ist
Alles begann, als ein Administrator bei einem Anbieter von Managed-IT-Diensten während einer Bing-Suche zum Herunterladen des WatchGuard-VPN-Clients auf eine Domain stieß, die den Markennamen mit dem Wort „vpn“ und der Endung .net kombinierte. Diese Adresse war speziell so gestaltet, dass sie dem offiziellen Portal von WatchGuard ähnelte.
Die Webseite bot den Download von Mobile VPN with SSL an und zeigte ein Formular, das entscheidende Informationen für die Konfiguration des Originalprogramms erforderte: die Server-Adresse des VPNs, den Benutzernamen und das Passwort. Diese Zugangsdaten, die scheinbar für die Installation erforderlich waren, wurden an eine separate zweite Domain gesendet.
Die zweite Domain mit der Endung .online verband den Begriff „WatchGuard“ mit „ssl“ und war ausschließlich der Sammlung der gestohlenen Zugangsdaten gewidmet. Laut Huntress lehnte das Skript der Seite den ersten Übermittlungsversuch ab und leerte die ausgefüllten Felder, wodurch das Opfer dazu gebracht wurde, seine Zugangsdaten erneut einzugeben. Dieses Verhalten ermöglichte es den Angreifern, mehrere Login-Versuche zu erfassen.
Die Forscher haben die für den Angriff verwendete Infrastruktur rekonstruiert. Die Domain für den Software-Download wurde am 22. August 2026 registriert, während jene zum Stehlen der Zugangsdaten am 14. September desselben Jahres auftauchte. Das Unternehmen WatchGuard hatte die verdächtige Adresse bereits im Januar gemeldet, doch zu diesem Zeitpunkt war kein vergleichbarer operativer Mechanismus wie der später analysierte zutage getreten.
Nachdem die Zugangsdaten erlangt waren, verteilte die betrügerische Seite keineswegs eine gefälschte Software. Der Download erfolgte stattdessen aus dem offiziellen Content-Delivery-Netzwerk von WatchGuard. Das heruntergeladene Paket war Mobile VPN with SSL Version 12.11.5, versehen mit einer gültigen digitalen Signatur von WatchGuard Technologies und einem Zeitstempel vom 4. November 2025.
Was sich ändert und welche Auswirkungen es hat
Die Experten von Huntress haben verifiziert, dass die Datei nach der Signierung nicht verändert wurde und keine Beweise für Manipulationen an der ausführbaren Datei vorlagen. Der Diebstahl der Zugangsdaten erfolgte vollständig über das Web-Formular, noch bevor die Installation der Software beginnen konnte.
Dieses Merkmal unterscheidet die Kampagne von Angriffen, die manipulierte Anwendungen oder schädliche Bibliotheken verbreiten, die möglicherweise durch eine Dateianalyse entlarvt werden könnten. Im vorliegenden Fall identifizierte das Sicherheitsteam die verdächtige Aktivität 21 Sekunden nach dem Laden der Seite und gab Anweisungen zur Bewältigung des Vorfalls.
Die betrügerische Domain war am 13. Oktober offline, aber es kann nicht bestätigt werden, ob auch die gesamte verbundene Infrastruktur deaktiviert wurde. Für Unternehmen unterstreicht dieser Vorfall die Bedeutung, die Herkunft von Downloads sorgfältig zu überprüfen und Administrator-Konten mit Multi-Faktor-Authentifizierung zu schützen.
Im Verdachtsfall einer Kompromittierung der Zugangsdaten ist es entscheidend, die Passwörter sofort zurückzusetzen und die VPN-Zugriffe auf ungewöhnliche Aktivitäten zu prüfen. Die Gültigkeit der digitalen Signatur allein bescheinigt nicht die Zuverlässigkeit der Webseite, von der eine Datei stammt.
Quelle und weiterführende Informationen zu WatchGuard VPN: Originalartikel.
* Inhalt erstellt mit Unterstützung von KI-Systemen.