- 攻击者通过伪造的 WatchGuard 网站收集服务器地址、用户名及密码
- 恶意脚本诱导用户重复提交表单以获取多次尝试机会
- 最终提供的安装包为未修改的官方正版软件，以此规避安全检测
据 Huntress 研究人员披露，一个仿冒 WatchGuard 的欺诈性下载网站在提供合法软件的同时，窃取了用户的 VPN 登录凭证。该攻击手法利用真实安装包作为掩护，使得终端防护产品难以通过文件检查识别威胁。
此次调查源于发现涉及为管理服务提供商工作的管理员存在可疑活动。专家分析指出，攻击者在向受害者提供合法客户端之前，先行收集了关键的连接详细信息。
伪装下载流程窃取用户凭据
调查显示，受害者在访问虚假网站前，曾通过 Bing 搜索引擎查找 WatchGuard VPN 下载资源。该欺诈页面展示了一个用于移动 SSL VPN 的下载界面，并包含一个要求输入服务器地址、用户名和密码的表单。
由于这些请求的信息与正规 VPN 客户端的安装流程完全一致，受害者并未察觉异常。一旦提交表单，数据会被传输至名为 watchguard-ssl[.]online 的独立域名，攻击者借此收集潜在的组织网络访问凭证。
值得注意的是，页面上的恶意脚本会拒绝第一次提交的申请并清空字段，迫使受害者再次输入信息。这一机制不仅增加了干扰性，还可能为攻击者提供多次捕获正确密码的机会。
Huntress 透露，运营商于 2026 年 8 月 22 日注册了下载域名，而负责收集凭证的域名则在 9 月 14 日出现。尽管 WatchGuard 早在 1 月份就曾报道过类似地址，但当时的研究人员尚未查明引导用户完成欺诈下载过程的具体功能机制。
正版软件签名掩盖身份盗窃行为
在受害者完成第二次提交后，网站会从 WatchGuard 官方的内容传递网络（CDN）发起下载，而非提供篡改过的假冒安装包。
下载的文件为 SSL 客户端版本 12.11.5 的移动 VPN，该文件保留了 WatchGuard 技术的有效数字签名，时间戳显示为 2025 年 11 月 4 日。Huntress 证实，安装程序在签名后未被修改，调查人员未发现攻击者改动合法可执行文件的证据。
这种分发策略不同于常见的植入恶意库或篡改安装程序的攻击方式，后者通常能被终端保护产品通过文件完整性检查所识别。由于安装过程正常且软件功能无误，受害者很难意识到自己的身份信息已在下载前被泄露。
猎人团队发现，在调查期间没有记录到从官方服务器的实际下载流量，这暗示部分用户可能未完成两次凭证提交步骤。检测到恶意网站上传后的 21 秒内，安全操作团队即提供了补救指导，从而阻止了进一步的升级风险。
据 Huntress 报告，主要的欺骗性域名已于 10 月 13 日下线，但目前尚不清楚相关基础设施是否在其他地方保持活跃。
针对此类攻击，组织应立即重置受损密码，启用多因素身份验证（MFA），审查可疑的 VPN 登录记录，并严格引导员工仅通过官方渠道下载软件。
