偽WatchGuardサイト、正規VPNクライアント配布し認証情報窃取
Huntressは、偽のWatchGuardダウンロードサイトが正規の署名済みVPNクライアントを配布しながら管理者の認証情報を窃取していたと報告した。
セキュリティ企業Huntressは、WatchGuardのVPNクライアントを装った偽のダウンロードサイトが、訪問者からVPNサーバーのアドレス、ユーザー名、パスワードを収集していたと報告した。techradar.comが伝えている。偽サイトwatchguard-vpn[.]netは、本物のWatchGuard Mobile VPN with SSLクライアントを配布する一方で認証情報を窃取していた。
偽サイトで入力された認証情報は、別ドメインのwatchguard-ssl[.]onlineに送信されていた。悪意あるスクリプトは最初の送信を拒否して入力欄をクリアし、被害者に2度目の入力を促す仕組みだった。
配布されたインストーラーはMobile VPN with SSLクライアントのバージョン12.11.5で、WatchGuard Technologiesの有効なデジタル署名と2025年11月4日のタイムスタンプを持っていた。Huntressの調査では、正規のインストーラーが改変された形跡は見つかっていない。
運営者はダウンロード用ドメインを2026年8月22日に、認証情報収集用ドメインを9月14日に登録した。主要な偽装ドメインは10月13日までにオフラインになっている。悪意あるウェブサイトが読み込まれてから21秒後に検知された。
過去にも報告された類似アドレス
WatchGuardは1月にこの類似アドレスを報告していたが、当時の調査では不正なダウンロード手順として機能する仕組みは確認されていなかった。
よくある質問
偽のWatchGuardサイトは何を窃取していましたか？
VPNサーバーのアドレス、ユーザー名、パスワードを収集し、別ドメインのwatchguard-ssl[.]onlineに送信していました。
配布されたインストーラーは改変されていましたか？
Huntressの調査では、バージョン12.11.5のインストーラーは有効なデジタル署名を持ち、改変の形跡は見つかっていません。