A campanha de phishing descoberta pela Huntress envolveu um site falso que imitava a página de downloads da WatchGuard, uma empresa de segurança cibernética. O site era usado para coletar endereços de servidores de VPN, nomes de usuário e senhas de redes corporativas. A Huntress identificou que o site falso coletava as informações duas vezes, primeiro através de um formulário de login e depois através de um download de um programa legítimo. Este método de phishing era mais sofisticado do que os ataques tradicionais que usam instaladores adulterados ou bibliotecas maliciosas. Em vez disso, o site falso simulava o download de um programa legítimo, o que ajudava a esconder o golpe. Além disso, o site falso coletava as informações duas vezes, uma vez através de um formulário de login e outra através de um download de um programa legítimo.
O programa legítimo era um Mobile VPN com SSL, uma solução de segurança da WatchGuard. O site falso simulava o download do programa legítimo, mas o download era direto da rede oficial de distribuição da WatchGuard, em vez de fornecer um instalador falsificado. Isso ajudava a reduzir as suspeitas do usuário. A WatchGuard já havia relatado o site semelhante em janeiro, mas os pesquisadores não encontraram um mecanismo funcional que conduzisse os visitantes pelo processo fraudulento.
O site falso foi registrado em 22 de agosto de 2026, enquanto o endereço responsável pela coleta das credenciais surgiu em 14 de setembro do mesmo ano. A WatchGuard é uma empresa de segurança cibernética que oferece soluções de proteção de redes, firewalls, VPNs e segurança de endpoints para empresas.
A Huntress verificou que o instalador não havia sido alterado depois da assinatura. Portanto, os investigadores não encontraram evidências de modificações no executável legítimo. A estratégia difere de ataques que distribuem instaladores adulterados ou bibliotecas maliciosas, arquivos que podem ser identificados por ferramentas de proteção de endpoints. Nesse caso, como o roubo das credenciais ocorria diretamente pelo navegador, o download do programa original ajudava a reduzir as suspeitas.
A equipe de operações de segurança foi alertada 21 segundos após o carregamento do site, o que permitiu fornecer orientações de resposta antes que os investigadores observassem uma escalada adicional da atividade. A Huntress informou que o principal domínio fraudulento estava fora do ar em 13 de outubro. Essa condição, no entanto, não confirma que todos os dados tenham sido coletados. A Huntress não encontrou nenhum download registrado no servidor oficial durante o incidente analisado.
Boas práticas operacionais incluem a atualização constante de software, a verificação regular de atividades suspeitas e a educação dos usuários sobre como identificar e evitar ataques de phishing. Além disso, a WatchGuard deve implementar medidas de segurança adicionais para proteger seus clientes contra ataques de phishing.