Sahte bir WatchGuard VPN indirme sitesi, kullanıcı bilgilerini çalarak saldırganlara kurumsal ağlara erişim sağlıyor.
Güvenlik uzmanları, sahte bir WatchGuard VPN indirme sitesinin, kullanıcıların yönetici kimlik bilgilerini çaldığını ve bunun yanı sıra gerçek yazılımı sunduğunu bildirdi. Bu durum, saldırganların kurumsal ağlara doğrudan erişim sağlamasına olanak tanıyor.
Sahte VPN Sitesinin Faaliyetleri
Huntress araştırmacıları, sahte bir alan adı üzerinden gerçekleştirilen bu dolandırıcılık faaliyetlerini takip etti. İnceleme, bir yönetilen hizmet sağlayıcısında çalışan bir yöneticinin şüpheli aktiviteleri tespit edilmesiyle başladı. Kullanıcı, Bing’de WatchGuard VPN indirme araması yaptıktan sonra, resmi indirme sayfasına benzeyen sahte bir web sitesine yönlendirildi.
Bu sahte site, watchguard-vpn[.]net adresini kullanarak, kullanıcıdan sunucu adresi, kullanıcı adı ve şifre gibi bilgileri talep eden bir form sundu. İstenilen bilgiler, gerçek VPN istemcisi için gerekli olan bilgilerle eşleştiği için, bu talep normal bir kurulum süreci gibi görünüyordu.
Kullanıcı Bilgilerinin Çalınması
Formun gönderilmesiyle birlikte, bilgiler watchguard-ssl[.]online adlı ayrı bir domaine iletildi ve burada saldırganlar, bu kimlik bilgilerini topladı. Kötü niyetli script, ilk gönderimi reddederek alanları temizledi ve kurbanı bilgileri tekrar girmeye zorladı. Bu durum, saldırganlara birden fazla şifre denemesi yapma fırsatı sundu.
Huntress, dolandırıcılık alan adının 22 Ağustos 2026’da kaydedildiğini, kimlik bilgilerini toplama alanının ise 14 Eylül’de ortaya çıktığını bildirdi. WatchGuard, bu sahte adresi daha önce Ocak ayında rapor etmişti, ancak o dönemde araştırmacılar, dolandırıcılık indirme sürecini yönlendiren işleyen bir mekanizma bulamamıştı.
Gerçek Yazılımın Rolü
Sahte web sitesi, ikinci gönderimi aldıktan sonra, sahte bir kurulum paketi sunmak yerine WatchGuard’ın resmi içerik dağıtım ağından gerçek bir indirme başlattı. İndirilen dosya, geçerli bir dijital imza taşıyan Mobile VPN with SSL istemcisi versiyon 12.11.5’ti. Huntress, imzadan sonra kurulum dosyasının değiştirilmediğini doğruladı, bu da saldırganların gerçek çalıştırılabilir dosyayı değiştirdiğine dair bir kanıt olmadığı anlamına geliyor.
Bu yaklaşım, değiştirilmiş yükleyiciler veya kötü niyetli kütüphaneler dağıtan kampanyalardan farklıdır. Gerçek indirme, kurbanların kimlik bilgilerinin zaten ele geçirildiğinden şüphelenmelerine neden olmaz, çünkü kurulum süreci normal bir şekilde devam eder. Huntress, araştırılan olay sırasında resmi sunucudan herhangi bir indirme kaydı bulamadı, bu da kullanıcının her iki kimlik bilgisi gönderimini tamamlamamış olabileceğini gösteriyor.
Huntress, sahte web sitesinin yüklendikten 21 saniye sonra tespit edildiğini ve güvenlik operasyonları ekibinin, araştırmacılar daha fazla yükselme gözlemlemeden önce düzeltme kılavuzları sağladığını bildirdi. Dolandırıcılık alan adı 13 Ekim itibarıyla çevrimdışıydı, ancak bu durum, ilişkili altyapının başka yerlerde aktif olup olmadığını göstermiyor.
Bu saldırı, sahte web sitesinin VPN kimlik bilgilerini tarayıcı üzerinden çalması nedeniyle birçok kötü amaçlı yazılım kontrolünden kaçıyor. Kuruluşların, ele geçirilen şifreleri sıfırlamaları, çok faktörlü kimlik doğrulamasını etkinleştirmeleri, şüpheli VPN girişlerini kontrol etmeleri ve çalışanları resmi yazılım indirme sayfalarına yönlendirmeleri önerilmektedir.
Kaynak: TechRadar
