Golpe por site falso visa roubo de senhas de VPN
Um site fraudulento que simulava a página oficial de downloads da WatchGuard foi descoberto como uma ferramenta para roubar credenciais de acesso a redes corporativas, enganando os usuários sem levantar suspeitas. A caçada por essa operação foi liderada pelos pesquisadores da Huntress, que identificaram que a página capturava nomes de usuário, senhas e endereços de servidores VPN antes de fornecer um instalador legítimo.
A investigação se iniciou após a descoberta de atividades incomuns relacionadas a um administrador de um provedor de serviços gerenciados. Segundo a Huntress, este usuário buscou no Bing um download do software VPN da WatchGuard e acabou acessando uma versão falsa que replicava o visual do site oficial da empresa.
Captura de credenciais em dose dupla
O site apresentava um formulário para download do Mobile VPN with SSL, solicitando o endereço do servidor, nome de usuário e a senha, informações que são pedidas pelo software autêntico. Contudo, ao enviar os dados, essas informações eram redirecionadas para um domínio controlado pelos golpistas.
O golpe era ainda mais engenhoso, pois o formulário rejeitava o primeiro envio e apagava os dados, obrigando a vítima a inserir as credenciais novamente. Com isso, os criminosos aumentavam a chance de captura das senhas.
Conforme a Huntress, o domínio malicioso que oferecia o download foi registrado em 22 de agosto de 2026, enquanto o endereço que coletava as credenciais surgiu em 14 de setembro do mesmo ano. A WatchGuard já havia reportado uma página semelhante anteriormente em janeiro, porém sem identificar a funcionalidade do golpe naquela ocasião.
O software original encobria o ataque
Após a captura das informações, o site iniciava o download do software legítimo da rede oficial da WatchGuard, e não de um instalador falso. O arquivo era a versão 12.11.5 do Mobile VPN with SSL, com assinatura digital válida da WatchGuard Technologies datada de 4 de novembro de 2025.
A Huntress confirmou que o instalador permanecia inalterado após a assinatura, não encontrando evidências de quaisquer modificações no executável legítimo. Isso difere de outras abordagens que distribuem softwares adulterados, que podem ser reconhecidos por ferramentas de proteção.Endpoint.
Neste caso, como o roubo das credenciais ocorria no navegador, a oferta do software legítimo ajudava a minimizar as desconfianças. A investigação ainda não encontrou registros de downloads feitos pelo servidor oficial durante o incidente, sugerindo que a vítima pode não ter finalizado as tentativas de envio das credenciais. O time de segurança foi notificado em 21 segundos após a ativação do site, permitindo que orientações de resposta fossem dadas antes que a situação se agravasse.
A Huntress reportou que o domínio principal do golpe estava inativo em 13 de outubro, mas isso não confirma o fechamento de toda a infraestrutura da operação.
Dicas para mitigar riscos
Para as organizações que podem ter sido impactadas, recomenda-se redefinir as senhas comprometidas, ativar a autenticação multifator e monitorar acessos suspeitos à VPN. Também é importante instruir os funcionários a realizarem downloads apenas por meio das páginas oficiais dos fornecedores.
Este caso ilustra como um site de download pode ser utilizado para coletar informações sensíveis, mesmo que o arquivo oferecido seja legítimo. Neste tipo de golpe, o comprometimento ocorre durante o preenchimento do formulário, antes da instalação do software.