Um site falso que imitava a página de downloads da WatchGuard foi usado para roubar credenciais de acesso a redes corporativas sem levantar suspeitas dos usuários. Identificada por pesquisadores da empresa de segurança Huntress, a campanha coletava endereços de servidores VPN, nomes de usuário e senhas antes de oferecer o programa legítimo para instalação.
A investigação começou após a detecção de atividades suspeitas envolvendo um administrador que trabalhava para um provedor de serviços gerenciados. Segundo a Huntress, o usuário havia pesquisado no Bing por um download da VPN da WatchGuard e acessado uma página fraudulenta que reproduzia a aparência do site oficial da empresa.
Site falso coletava credenciais duas vezes
O endereço apresentava uma suposta página de download do Mobile VPN with SSL. Para prosseguir com a instalação, o visitante precisava preencher um formulário com o endereço do servidor, o nome de usuário e a senha, informações que também são solicitadas pelo cliente legítimo.
Ao enviar os dados, porém, o usuário os transmitia para outro domínio, controlado pelos responsáveis pela operação. As informações coletadas poderiam ser utilizadas para tentar acessar a rede da organização.
O mecanismo malicioso ainda rejeitava o primeiro envio do formulário e apagava os campos preenchidos, levando a vítima a inserir as credenciais novamente. Dessa forma, os criminosos poderiam obter mais de uma tentativa de captura das senhas.
