#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В октябре 2026 года злоумышленники использовали домен-двойник `watchguard-vpn[.\]net` и отравление поисковой оптимизации (SEO) для имитации страницы загрузки VPN WatchGuard. Скрипт JavaScript собирал адреса VPN-серверов, имена пользователей и пароли, отправляя их на `watchguard-ssl[.\]online`, при этом доставляя легитимный подписанный установщик WatchGuard для уклонения от обнаружения.
-----

В начале октября 2026 года была проведена кампания фишинга с целью кражи учётных данных, в ходе которой использовался домен-двойник `watchguard-vpn[.\]net` для имитации сайта загрузки Mobile VPN с поддержкой SSL от WatchGuard. Домен продвигался через результаты поиска, вероятно, с применением отравления поисковой оптимизации (SEO). Жертва попала на сайт после поиска в Bing загрузки VPN WatchGuard и была перенаправлена на страницу, предлагающую загрузку для нескольких операционных систем.

Нажатие на вариант загрузки открывало всплывающее окно браузера, реализованное примерно в 150 строках нескриптованного JavaScript. В запросе требовались адрес VPN-сервера, имя пользователя и пароль — значения, напоминающие информацию, запрашиваемую легитимным VPN-клиентом. Скрипт отправлял введённые данные в формате JSON на отдельный домен сбора `watchguard-ssl[.\]online`. Он намеренно отклонял первую отправку, очищал поля и запрашивал информацию повторно, что потенциально позволяло получать несколько вариантов пароля или побуждало жертв исправлять якобы ошибочно введённый пароль.

После второй отправки на сайте отобразилось сообщение об успешной установке, и установщик подлинного WatchGuard Mobile VPN with SSL был загружен непосредственно с CDN WatchGuard. Наблюдаемый установщик был версии 12.11.5 и содержал действующую подпись WatchGuard Authenticode, при этом его целостность соответствовала подписанному дайджесту SHA-256. Следовательно, для проведения атаки не требовался модифицированный установщик, вредоносная DLL или иное ВПО, которые средства защиты конечных точек могли бы легко обнаружить. Жертвы получали ожидаемое программное обеспечение, в то время как их учетные данные VPN передавались злоумышленнику.

Домен ранее был связан с активностью по имперсонации WatchGuard и был повторно зарегистрирован 22 августа 2026 года. В ходе наблюдаемой кампании он резолвился на `80.249.132[.\]140` на инфраструктуре LeaseWeb. Домен сборщика был зарегистрирован 14 сентября. Специалисты по безопасности должны считать учетные данные, введённые на фишинговом сайте, скомпрометированными, сбросить затронутые пароли, внедрить MFA, отслеживать входы в VPN из незнакомых сетей или хостинг-провайдеров, а также блокировать идентифицированные домены и инфраструктуру.