Sahte bir WatchGuard VPN indirme sayfası üzerinden kurumsal kimlik bilgilerini çalmayı hedefleyen yeni bir atak çeşidi tespit edildi. Güvenlik araştırmacıları, saldırganların özgün yazılımı bir kalkan olarak kullanarak kullanıcıları kandırdığını belirtiyor.

Huntress tarafından yürütülen incelemeler, saldırganların WatchGuard’ın resmi indirme sayfalarını taklit eden aldatıcı bir alan ismi oluşturduğunu ortaya koydu. Bu sahte web sitesi, kullanıcıların VPN sunucu adresi, kullanıcı ismi ve şifre bilgilerini girmesini talep eden bir form görüntülüyor.

Kimlik Bilgilerini Çalan Aldatıcı Yöntem

Saldırganlar, watchguard-vpn[.]net adresini kullanarak kurbanların VPN temas ayrıntılarını toplamayı amaçlıyor. Form üzerinden gönderilen bilgiler, saldırganların denetimindeki watchguard-ssl[.]online isimli farklı bir alan ismine iletiliyor.

Sistem, girilen bilgileri birinci seferde reddederek kullanıcıdan dataları tekrar girmesini istiyor. Bu usul, saldırganların birden fazla şifre denemesine erişim sağlamasına imkan tanıyor.

Araştırmacılar, bu uydurma indirme alan isminin 22 Ağustos 2026 tarihinde kaydedildiğini tespit etti. Kimlik bilgilerini toplayan öteki alan isminin ise 14 Eylül tarihinde ortaya çıktığı belirlendi.

Saldırganlar, kullanıcıların şüphelenmemesi için epey dikkatli bir yol izliyor. İkinci data girişinden sonra site, uydurma bir yazılım yerine WatchGuard’ın resmi içerik dağıtım ağından yepyeni heyetim paketini indiriyor.

İndirilen evrak, WatchGuard Technologies tarafından dijital olarak imzalanmış Mobile VPN with SSL istemcisi sürüm 12.11.5 olarak görünüyor. Huntress, heyetim evrakının yepyeni olduğunu ve saldırganların yazılım üzerinde rastgele bir değişiklik yapmadığını doğruladı.

Güvenlik Önlemleri ve Remediasyon

Bu yaklaşım, berbat emelli yazılım içeren yahut değiştirilmiş evraklar dağıtan klâsik hücumlardan ayrılıyor. Özgün yazılımın sunulması, kurbanların kimlik bilgilerinin çalındığından şüphelenmesini zorlaştırıyor.

Güvenlik takımları, taarruzun tarayıcı üzerinden gerçekleşmesi sebebiyle birçok uç nokta müdafaa eserinin durumu tespit edemediğini söz ediyor. Huntress, ana aldatıcı alan isminin 13 Ekim prestijiyle çevrimdışı olduğunu bildirdi.

Kuruluşların, mümkün bir ihlale karşı acil tedbirler alması büyük kıymet taşıyor. Uzmanlar, tüm şifrelerin sıfırlanmasını ve çok faktörlü kimlik doğrulamanın kesinlikle aktifleştirilmesini öneriyor.

Ayrıca, VPN girişlerinde kuşkulu faaliyetlerin denetim edilmesi ve çalışanların sadece resmi yazılım indirme sayfalarına yönlendirilmesi gerekiyor. Bu tıp siber taarruz usulleri hakkında siz ne düşünüyorsunuz?

Kaynak: Shiftdelete