In questo articolo Indice dei contenuti 2 sezioni
Un attacco alle VPN aziendali dimostra che un programma autentico non basta a garantire la sicurezza, soprattutto quando viene scaricato da una pagina fraudolenta. Al centro della vicenda c’è un falso sito WatchGuard costruito per sottrarre le credenziali degli amministratori di rete, che poi consegnava alla vittima il software legittimo del produttore.
L’indagine porta la firma dei ricercatori di Huntress, che hanno ricostruito l’intero meccanismo. I criminali raccoglievano i dati di accesso prima di avviare il download, e proprio questa sequenza rende la trappola difficile da riconoscere anche per chi presta molta attenzione. L’installazione appare regolare e non lascia per forza segnali evidenti di compromissione.
Come il falso sito WatchGuard rubava le credenziali VPN
Tutto è partito da attività sospette riconducibili a un amministratore impiegato presso un fornitore di servizi IT gestiti. Cercando su Bing una pagina da cui scaricare il client VPN di WatchGuard, l’utente era finito su un dominio che univa il nome del marchio alla parola vpn con estensione .net, pensato apposta per somigliare al portale ufficiale.
La pagina offriva il download di Mobile VPN with SSL e presentava un modulo che chiedeva l’indirizzo del server VPN, il nome utente e la password. Sono esattamente le informazioni necessarie per configurare il programma originale, quindi la richiesta sembrava del tutto plausibile durante l’installazione.
I dati finivano su un secondo dominio, separato dal primo, che abbinava il nome WatchGuard al termine ssl con estensione .online e serviva soltanto a raccogliere le informazioni. Secondo Huntress lo script respingeva il primo invio e svuotava i campi compilati, spingendo la vittima a digitare di nuovo le credenziali. Un comportamento che poteva permettere agli aggressori di catturare più tentativi di accesso.
I ricercatori hanno ricostruito anche le tappe dell’infrastruttura messa in piedi contro gli utenti di WatchGuard. Il dominio dedicato al download risulta registrato il 22 agosto 2026, mentre quello usato per il furto dei dati è comparso il 14 settembre. L’azienda aveva già segnalato l’indirizzo sospetto a gennaio, ma allora non era emerso un meccanismo operativo paragonabile a quello analizzato in seguito.
Perché il software autentico rende la truffa più insidiosa
Una volta incassate le credenziali, il sito non distribuiva affatto un programma contraffatto. Il download partiva invece dalla rete ufficiale di distribuzione dei contenuti di WatchGuard. Il pacchetto era Mobile VPN with SSL versione 12.11.5, con una firma digitale valida attribuita a WatchGuard Technologies e una marca temporale del 4 novembre 2025.
Gli esperti di Huntress hanno verificato che il file non era stato modificato dopo la firma, e non sono emerse prove di alterazioni dell’eseguibile. Il furto avveniva interamente attraverso il modulo web, prima ancora che l’installazione cominciasse. È proprio questo a distinguere la campagna dagli attacchi che diffondono applicazioni manomesse o librerie dannose, che un’analisi dei file può potenzialmente smascherare.
Nel caso esaminato il team di sicurezza ha individuato l’attività 21 secondi dopo il caricamento della pagina e ha fornito indicazioni per gestire l’incidente. Durante l’episodio non sono stati osservati ulteriori segnali di escalation. Il dominio fraudolento risultava offline il 13 ottobre, anche se questo non prova che tutta l’infrastruttura collegata sia stata disattivata.
Per le aziende la vicenda conferma quanto conti verificare l’origine dei download e proteggere gli account amministrativi con l’autenticazione a più fattori. Quando le credenziali rischiano di essere state esposte bisogna reimpostare le password e controllare gli accessi VPN alla ricerca di attività anomale. La validità della firma digitale, da sola, non certifica l’affidabilità del sito da cui arriva un file.
Fonte: TecnoAndroid