Um site falso que imitava a página de downloads da WatchGuard foi usado para roubar credenciais de acesso a redes corporativas sem levantar suspeitas dos usuários. Identificada por pesquisadores da empresa de segurança Huntress, a campanha coletava endereços de servidores VPN, nomes de usuário e senhas antes de oferecer o programa legítimo para instalação.
Continua após a publicidade
A investigação começou após a detecção de atividades suspeitas envolvendo um administrador que trabalhava para um provedor de serviços gerenciados. Segundo a Huntress, o usuário havia pesquisado no Bing por um download da VPN da WatchGuard e acessado uma página fraudulenta que reproduzia a aparência do site oficial da empresa.
Site falso coletava credenciais duas vezes
O endereço apresentava uma suposta página de download do Mobile VPN with SSL. Para prosseguir com a instalação, o visitante precisava preencher um formulário com o endereço do servidor, o nome de usuário e a senha, informações que também são solicitadas pelo cliente legítimo.
Ao enviar os dados, porém, o usuário os transmitia para outro domínio, controlado pelos responsáveis pela operação. As informações coletadas poderiam ser utilizadas para tentar acessar a rede da organização.
O mecanismo malicioso ainda rejeitava o primeiro envio do formulário e apagava os campos preenchidos, levando a vítima a inserir as credenciais novamente. Dessa forma, os criminosos poderiam obter mais de uma tentativa de captura das senhas.
De acordo com a Huntress, o domínio usado para oferecer o download foi registrado em 22 de agosto de 2026, enquanto o endereço responsável pela coleta das credenciais surgiu em 14 de setembro do mesmo ano. A WatchGuard já havia relatado o endereço semelhante em janeiro, mas, naquela ocasião, os pesquisadores não encontraram um mecanismo funcional que conduzisse os visitantes pelo processo fraudulento.
A WatchGuard é uma empresa de segurança cibernética que oferece soluções de proteção de redes, firewalls, VPNs e segurança de endpoints para empresas – Imagem: Reprodução
Programa original ajudava a esconder o golpe
Depois de coletar as informações, o site iniciava o download do software diretamente da rede oficial de distribuição de conteúdo da WatchGuard, em vez de fornecer um instalador falsificado. O arquivo correspondia à versão 12.11.5 do Mobile VPN with SSL e apresentava uma assinatura digital válida da WatchGuard Technologies, com data de 4 de novembro de 2025.
A Huntress verificou que o instalador não havia sido alterado depois da assinatura. Portanto, os investigadores não encontraram evidências de modificações no executável legítimo.
A estratégia difere de ataques que distribuem instaladores adulterados ou bibliotecas maliciosas, arquivos que podem ser identificados por ferramentas de proteção de endpoints. Nesse caso, como o roubo das credenciais ocorria diretamente pelo navegador, o download do programa original ajudava a reduzir as suspeitas.
Continua após a publicidade
A investigação não identificou nenhum download registrado no servidor oficial durante o incidente analisado. Isso sugere que o usuário talvez não tenha concluído as duas tentativas de envio das credenciais. A equipe de operações de segurança foi alertada 21 segundos após o carregamento do site, o que permitiu fornecer orientações de resposta antes que os investigadores observassem uma escalada adicional da atividade.
A Huntress informou que o principal domínio fraudulento estava fora do ar em 13 de outubro. Essa condição, no entanto, não confirma que toda a infraestrutura relacionada à operação também tenha sido desativada.
Como reduzir os riscos
A recomendação para organizações que possam ter sido afetadas é redefinir as senhas comprometidas, habilitar a autenticação multifator e verificar se houve acessos suspeitos à VPN. Também é indicado orientar os funcionários a obter programas somente por meio das páginas oficiais dos fornecedores.
Continua após a publicidade
O caso mostra como uma página de download pode ser utilizada para capturar informações sensíveis mesmo quando o arquivo oferecido ao visitante é legítimo. Nesse tipo de abordagem, o comprometimento ocorre durante o preenchimento do formulário, antes da instalação do software.
Ana Luiza Figueiredo
Ana Figueiredo é editora de tecnologia do Olhar Digital. É formada em Jornalismo pela Universidade Federal de Uberlândia (UFU).
Ver todos os artigos →
Tags: golpe golpe cibernético hacker site VPN
