Um website fraudulento que simulava a página de downloads da WatchGuard foi empregado para furtar credenciais de acesso a redes corporativas sem despertar desconfiança nos utilizadores. Pesquisadores da empresa de segurança Huntress identificaram esta campanha, que tinha como objetivo recolher endereços de servidores VPN, nomes de utilizador e palavras-passe antes de disponibilizar o programa autêntico para instalação.
A investigação teve início após a deteção de atividades suspeitas relacionadas com um administrador que trabalhava para um provedor de serviços geridos. Segundo a Huntress, este utilizador procurou no Bing um download da VPN da WatchGuard e acedeu a uma página enganosa que replicava a aparência do sítio oficial da companhia.
Este endereço apresentava uma suposta página de download do Mobile VPN with SSL. Para avançar com a instalação, o visitante era obrigado a preencher um formulário contendo o endereço do servidor, o nome de utilizador e a palavra-passe, dados que também são requeridos pelo cliente legítimo.
Contudo, ao submeter os dados, o utilizador os enviava para um domínio diferente, sob controlo dos responsáveis pela operação. As informações obtidas podiam ser usadas para tentar aceder à rede da organização.
O sistema malicioso possuía um mecanismo que rejeitava o primeiro envio do formulário e apagava os campos preenchidos, forçando a vítima a introduzir as credenciais novamente. Desta forma, os criminosos conseguiam obter múltiplas tentativas de captura das palavras-passe.
A Huntress reportou que o domínio utilizado para oferecer o download foi registado em 22 de agosto de 2026, enquanto o endereço dedicado à recolha de credenciais surgiu em 14 de setembro do mesmo ano. A WatchGuard já tinha notificado sobre um endereço semelhante em janeiro, mas, nessa altura, os investigadores não encontraram um método funcional que guiasse os visitantes através do processo fraudulento.
Após a recolha das informações, o sítio iniciava o download do software diretamente da rede oficial de distribuição de conteúdo da WatchGuard, em vez de fornecer um instalador falsificado. O ficheiro correspondia à versão 12.11.5 do Mobile VPN with SSL e possuía uma assinatura digital válida da WatchGuard Technologies, datada de 4 de novembro de 2025.
A Huntress confirmou que o instalador não tinha sido alterado após a assinatura. Assim, os investigadores não encontraram provas de modificações no executável genuíno.
Esta tática distingue-se de ataques que distribuem instaladores adulterados ou bibliotecas maliciosas, arquivos que podem ser detetados por ferramentas de proteção de endpoints. Neste cenário, como o roubo das credenciais ocorria diretamente através do navegador, o download do programa original ajudava a diminuir as suspeitas.
A investigação não registou nenhum download no servidor oficial durante o incidente analisado, o que sugere que o utilizador talvez não tenha completado as duas tentativas de envio das credenciais. A equipa de operações de segurança foi alertada 21 segundos após o carregamento do sítio, o que permitiu fornecer orientações de resposta antes que os investigadores observassem um aumento adicional da atividade.
A Huntress comunicou que o domínio fraudulento principal estava inoperacional em 13 de outubro. No entanto, esta situação não confirma que toda a infraestrutura ligada à operação tenha sido desativada.
Para as organizações que possam ter sido afetadas, recomenda-se a redefinição das palavras-passe comprometidas, a ativação da autenticação multifator e a verificação de quaisquer acessos suspeitos à VPN. Também é aconselhável instruir os colaboradores a obterem programas apenas através das páginas oficiais dos fornecedores.
O caso ilustra como uma página de download pode ser usada para capturar dados confidenciais mesmo quando o ficheiro oferecido ao visitante é legítimo. Nesta modalidade de ataque, o comprometimento acontece durante o preenchimento do formulário, antes da instalação do software.