Site falso da WatchGuard captura credenciais de VPN enquanto oferece instalador legítimo
Uma página que imitava o suporte da WatchGuard foi usada para obter dados de acesso a redes corporativas. O esquema pedia endereço do servidor, nome de usuário e senha de VPN e, depois, disponibilizava o programa verdadeiro da empresa. Como o instalador era legítimo e funcionava normalmente, a vítima podia não perceber que suas credenciais já haviam sido enviadas aos criminosos.
O caso foi identificado durante a apuração de um incidente ocorrido em 7 de outubro em um provedor de serviços gerenciados. A pessoa afetada encontrou o site ao pesquisar no Bing por “watchguard vpn sll download”. O acesso veio de um resultado comum do buscador, sem indicação de que se tratasse de um anúncio patrocinado malicioso. A suspeita é de que os responsáveis tenham manipulado a classificação da página para fazê-la aparecer nas buscas – uma técnica conhecida como envenenamento de SEO.
O domínio usado, watchguard-vpn.net, apresentava uma página visualmente semelhante à área de suporte do fabricante. Havia perguntas frequentes e um botão para baixar o cliente de VPN. Em vez de iniciar o download, porém, o botão abria um formulário com os campos “Server”, “Login” e “Password”.
A página também empregava um artifício para tornar a coleta menos evidente. Depois do primeiro preenchimento, informava que os dados estavam incorretos e exibia a mensagem “Incorrect data”. A tentativa seguinte liberava um link oculto para baixar o arquivo WG-MVPN-SSL_12_11_5.exe, uma versão legítima do cliente Mobile VPN with SSL, assinada digitalmente.
Essa sequência ajudava a disfarçar o golpe: a pessoa podia atribuir a primeira recusa a um erro de digitação e, satisfeita por conseguir instalar o programa na segunda tentativa, não desconfiar do formulário. O funcionamento correto do aplicativo não significava, contudo, que o processo fosse seguro. O risco estava na entrega anterior das credenciais.
A captura era realizada por um script de aproximadamente 150 linhas. Ele enviava as informações preenchidas em formato JSON, por meio de uma requisição HTTP POST, para outro domínio controlado pelos operadores. Se a transmissão falhasse, o erro aparecia apenas no console do navegador, sem uma notificação visível na página. Assim, o usuário podia concluir a instalação sem receber qualquer alerta sobre o envio dos dados.
Não foi identificado o fornecimento de malware nesse episódio. O objetivo era obter credenciais de VPN, mantendo a aparência de uma operação normal. A página fraudulenta foi retirada do ar em 13 de outubro e se descrevia no rodapé como um site independente de fãs – uma ressalva que não elimina o risco nem comprova qualquer vínculo com o fabricante.
O que fazer se os dados tiverem sido informados
Quem digitou a senha ou o endereço do servidor no site deve tratar essas informações como comprometidas. O primeiro passo é alterar a senha, especialmente se ela também for usada em outros serviços. Reutilizar uma mesma combinação em diferentes contas amplia o impacto de um vazamento: um dado obtido em uma fraude pode abrir portas para vários sistemas.
Também é importante considerar que o endereço do servidor de VPN foi exposto. A equipe responsável pela rede deve avaliar se ele precisa ser alterado e verificar os registros de autenticação em busca de acessos incomuns. Horários, locais, dispositivos e tentativas malsucedidas podem ajudar a identificar se alguém já tentou aproveitar as informações roubadas.
A autenticação multifator deve ser ativada sempre que estiver disponível. Ela não substitui uma senha forte nem elimina todos os riscos, mas acrescenta uma etapa de verificação que pode impedir o acesso mesmo quando a senha foi descoberta. Em ambientes corporativos, vale ainda revisar as permissões associadas às contas e encerrar sessões ou credenciais que não sejam mais necessárias.
Para evitar novas exposições, o instalador de uma VPN deve ser obtido diretamente no portal oficial do fabricante ou por um endereço previamente validado pela equipe de TI. Favoritos corporativos e catálogos internos de software são alternativas mais seguras do que iniciar a busca por meio de um mecanismo de pesquisa. Antes de inserir credenciais, confira cuidadosamente o domínio e desconfie de páginas que solicitem dados de acesso para liberar um download.
Empresas também podem reduzir a chance de golpes desse tipo com orientações simples: explicar aos funcionários como reconhecer domínios falsos, indicar canais autorizados para baixar programas e estabelecer um procedimento para comunicar páginas suspeitas. Caso alguém tenha preenchido um formulário duvidoso, a comunicação rápida à área de segurança permite trocar credenciais e investigar tentativas de acesso antes que a conta seja usada em outros ataques.
O episódio mostra que um arquivo legítimo não torna legítimo o site que o distribui. Criminosos podem combinar uma página convincente, um formulário de coleta e um instalador verdadeiro para esconder o roubo de dados. Por isso, é essencial avaliar não apenas o arquivo baixado, mas também o endereço visitado e o motivo pelo qual o site solicitou informações de autenticação.