WatchGuard VPN: sito falso ruba credenziali e distribuisce software originale

WatchGuard VPN. Un attacco mirato alle VPN aziendali ha dimostrato che la sola presenza di un software autentico non è sufficiente a garantire la sicurezza, soprattutto quando il download avviene da una pagina web fraudolenta. I ricercatori di Huntress hanno scoperto un sito fasullo che imitava WatchGuard, progettato per sottrarre le credenziali degli amministratori di rete e, successivamente, fornire loro il software legittimo del produttore.

L’indagine ha rivelato come i criminali raccogliessero i dati di accesso prima dell’avvio del download effettivo. Questa sequenza rende la truffa particolarmente insidiosa, difficile da riconoscere anche per utenti attenti alla sicurezza. L’installazione del software sembrava regolare e non lasciava necessariamente tracce evidenti di compromissione.

WatchGuard VPN: perché è importante

Tutto è iniziato quando un amministratore impiegato presso un fornitore di servizi IT gestiti, durante una ricerca su Bing per scaricare il client VPN di WatchGuard, si è imbattuto in un dominio che combinava il nome del marchio con la parola “vpn” e l’estensione .net. Questo indirizzo era studiato appositamente per assomigliare al portale ufficiale di WatchGuard.

La pagina web offriva il download di Mobile VPN with SSL e presentava un modulo che richiedeva informazioni cruciali per la configurazione del programma originale: l’indirizzo del server VPN, il nome utente e la password. Queste credenziali, apparentemente necessarie per l’installazione, venivano inviate a un secondo dominio separato.

Il secondo dominio, con estensione .online, abbinava il termine “WatchGuard” a “ssl” ed era dedicato esclusivamente alla raccolta delle credenziali rubate. Secondo Huntress, lo script del sito rifiutava il primo tentativo di invio e svuotava i campi compilati, spingendo la vittima a reinserire le proprie credenziali. Questo comportamento permetteva agli aggressori di catturare più tentativi di accesso.

I ricercatori hanno ricostruito l’infrastruttura utilizzata per l’attacco. Il dominio dedicato al download del software è stato registrato il 22 agosto 2026, mentre quello utilizzato per il furto delle credenziali è comparso il 14 settembre dello stesso anno. L’azienda WatchGuard aveva già segnalato l’indirizzo sospetto a gennaio, ma all’epoca non era emerso un meccanismo operativo paragonabile a quello analizzato successivamente.

Una volta ottenute le credenziali, il sito fraudolento non distribuiva affatto un programma contraffatto. Il download avveniva invece dalla rete ufficiale di distribuzione dei contenuti di WatchGuard. Il pacchetto scaricato era Mobile VPN with SSL versione 12.11.5, dotato di una firma digitale valida attribuita a WatchGuard Technologies e con una marca temporale del 4 novembre 2025.

Cosa cambia e quali sono gli effetti

Gli esperti di Huntress hanno verificato che il file non era stato modificato dopo la firma e non sono emerse prove di alterazioni dell’eseguibile. Il furto delle credenziali avveniva interamente attraverso il modulo web, prima ancora che l’installazione del software potesse iniziare.

Questa caratteristica distingue la campagna dagli attacchi che diffondono applicazioni manomesse o librerie dannose, le quali potrebbero essere smascherate da un’analisi dei file. Nel caso in esame, il team di sicurezza ha individuato l’attività sospetta 21 secondi dopo il caricamento della pagina e ha fornito indicazioni per gestire l’incidente.

Il dominio fraudolento risultava offline il 13 ottobre, ma non è possibile confermare se anche tutta l’infrastruttura collegata sia stata disattivata. Per le aziende, questo episodio sottolinea l’importanza di verificare attentamente l’origine dei download e proteggere gli account amministrativi con l’autenticazione a più fattori.

In caso di sospetta esposizione delle credenziali, è fondamentale reimpostare immediatamente le password e controllare gli accessi VPN alla ricerca di attività anomale. La validità della firma digitale, da sola, non certifica l’affidabilità del sito web da cui proviene un file.

Fonte e approfondimento su WatchGuard VPN: articolo originale.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.