Un faux site WatchGuard dérobe les identifiants VPN
Selon Huntress, le site watchguard-vpn[.]net livrait le vrai client signé Mobile VPN with SSL tout en exfiltrant les identifiants vers un autre domaine.
Un site d'imitation de WatchGuard, watchguard-vpn[.]net, a collecté les adresses de serveurs VPN, les noms d'utilisateur et les mots de passe des visiteurs tout en leur fournissant le véritable client Mobile VPN with SSL, selon une enquête de la société de sécurité Huntress relayée par techradar.com.
Les identifiants saisis sur le faux site étaient envoyés vers un domaine distinct, watchguard-ssl[.]online. Le script malveillant rejetait la première soumission du formulaire et effaçait les champs, incitant les victimes à ressaisir leurs informations une seconde fois.
L'installateur téléchargé correspondait au client Mobile VPN with SSL version 12.11.5, porteur d'une signature numérique valide de WatchGuard Technologies et horodaté du 4 novembre 2025. Les enquêteurs de Huntress n'ont trouvé aucun indice que l'installateur légitime ait été modifié.
Un calendrier resserré
L'opérateur a enregistré le domaine de téléchargement le 22 août 2026 et le domaine de collecte des identifiants le 14 septembre. Le domaine trompeur principal était hors ligne au 13 octobre. La détection a eu lieu 21 secondes après le chargement du site malveillant.
En janvier, WatchGuard avait déjà signalé l'adresse d'imitation, mais les chercheurs n'avaient alors trouvé aucun mécanisme fonctionnel pour le processus de téléchargement frauduleux.
En bref
Que dérobe le faux site WatchGuard ?
Il collecte les adresses de serveurs VPN, les noms d'utilisateur et les mots de passe saisis par les visiteurs, envoyés vers le domaine watchguard-ssl[.]online.
Le client téléchargé est-il infecté ?
Non : il s'agit du client Mobile VPN with SSL version 12.11.5, signé par WatchGuard Technologies et non modifié selon Huntress.