Një faqe e rremë e shkarkimit të produktit WatchGuard ka vjedhur detajet e hyrjes në VPN, duke ofruar në të njëjtën kohë paketën e instalimit autentike, sipas ekspertëve.
Hetuesit e sigurisë në Huntress e kanë gjuajtur këtë aktivitet deri tek një domen i ngjanjshëm, i cili ka mbledhur detajet e lidhjes përpara shkarkimit të klientit të ligjshëm.
Hetimet kanë filluar pas zbulimit të aktiviteteve të dyshimta të kryera nga një administrator që punonte për një ofrues të shërbimeve të menaxhuara.
Hetuesit kanë zbuluar se përdoruesi kishte kërkuar në Bing për një shkarkim të VPN-it WatchGuard përpara se të vizitonte një faqe e rremë, e cila ishte dizajnuar për të imituar faqet zyrtare të shkarkimit të vendorit.
Faqja, watchguard-vpn[.]net, ofronte një VPN të supozuar mobile me SSL dhe shfaqte një formular që kërkonte adresën e serverit, emrin e përdoruesit dhe fjalëkalimin.
Këto detaje përputheshin me informacionin që kërkohet nga klienti i vërtetë i VPN-it, duke e bërë kërkesën të duket e konsideruar me një proces të zakonshëm instalimi.
Dërgimi i formularit transmetonte informacionin në një domen të veçantë, watchguard-ssl[.]online, ku sulmuesit mblidhnin kredencialet për t’i përdorur potencialisht kundër rrjetit të organizatës.
Skripta e dëmshme refuzonte paraqitjen e parë dhe pastronte fushata, duke i nxitur viktimën të hynte përsëri informacionin dhe duke mundësuar potencialisht sulmuesve të merrnin tentativa të shumta fjalëkalimi.
Huntress zbuloi se operatorët e regjistruan domenit e shkarkimit më 22 gusht 2026, ndërsa domeni i mbledhjes së kredencialeve u shfaq më 14 shtator.
WatchGuard kishte raportuar mëparshëm adresën e ngjanjshme në janar, megjithëse atëherë, hulumtuesit nuk e kishin gjetur asnjë mekanizëm funksional që drejtonte vizitorët përmes procesit të shkarkimit të rremë.
Pas mbledhjes së paraqitjes së dytë, faqja filloi një shkarkim nga rrjeti zyrtar i dorëzimit të përmbajtjes të WatchGuard, në vend që të ofronte një paketë instalimi të falsifikuar.
Skedari ishte klienti i VPN-it Mobile me SSL versioni 12.11.5, i cili mbante një firmë digjitale të vlefshme nga WatchGuard Technologies dhe një vulë kohore e datës 4 nëntor 2025.
Huntress verifikoi se instaluesi nuk kishte ndryshuar pas nënshkrimit, duke nënkuptuar se hetuesit nuk e kishin gjetur asnjë provë që sulmuesit kishin modifikuar ekzekutuesin e ligjshëm.
Ky qasje ndryshon nga fushatat që shpërndajnë instalues të modifikuar ose biblioteka të dëmshme, të cilat produktet e mbrojtjes në nivelin e fundit mund t’i identifikojnë përmes inspekimit të skedarëve.
Shkarkimi autentik gjithashtu jep viktimave pak arsye për të dyshuar se kredencialet e tyre janë tashmë të komprosimuara, pasi instalimi mund të vazgdojë normalisht më pas.
Huntress nuk ka gjetur asnjë shkarkim të regjistruar nga serveri zyrtar gjatë incidentit të hetuar, duke sugjeruar se përdoruesi ndoshta nuk kishte përfunduar të dy paraqitjet e kredencialeve.
Zbulimi ndodhi 21 sekonda pas ngarkimit të faqes së rreme, duke i lejuar ekipit të operacioneve të sigurisë të ofrojë udhëzim për rimëkëmbje përpara se hetuesit të vëshironin një përshkallëzim të mëtejshëm.
Huntress raportoi se domeni i rremë kryesor ishte offline që nga data 13 tetor, megjithëse ky status nuk vërteton nëse infrastruktura e lidhur mbetet aktive në vend tjetër.
Ky sulm shmang shumë kontrollet e malware-it, sepse faqja e rreme vjedh kredencialet e VPN-it përmes shfletuesit përpara se të shkarkojë softuerin e vërtetë.
Organizatat duhet të rivendosin fjalëkalimet e komprosimuara, të aktivizojnë autentikimin multifaktor, të kontrollojnë për hyrjet e dyshimta në VPN dhe të udhëheqin punonjësit në faqet zyrtare të shkarkimit të softuerit.
OK. Please provide the English text you want me to translate into Standard Albanian. I am ready to translate articles on technology, energy, business, aviation, and news, following all the guidelines you have provided.
Burimi: TechRadar.com
