가짜 WatchGuard 다운로드 사이트, 정품 설치파일과 함께 VPN 계정 탈취
헌트리스 조사에 따르면 위조 사이트는 WatchGuard Mobile VPN with SSL 정품 클라이언트를 제공하면서 관리자 VPN 자격증명을 수집했다.
보안 기업 Huntress는 WatchGuard의 VPN 클라이언트를 사칭한 다운로드 사이트가 방문자의 VPN 서버 주소와 사용자 이름, 비밀번호를 수집하면서 실제 WatchGuard Mobile VPN with SSL 클라이언트를 함께 배포한 사실을 확인했다고 밝혔다. 사이트 주소는 watchguard-vpn[.]net이다.
가짜 사이트에 입력된 자격증명은 별도의 도메인 watchguard-ssl[.]online으로 전송됐다. 악성 스크립트는 첫 번째 양식 제출을 거부하고 입력란을 비운 뒤, 피해자에게 정보를 두 번째로 입력하도록 유도했다.
다운로드된 설치파일은 WatchGuard Technologies의 유효한 디지털 서명이 포함된 Mobile VPN with SSL 클라이언트 버전 12.11.5였으며 타임스탬프는 2025년 11월 4일이다. Huntress 조사관들은 정품 설치파일이 변조된 정황은 발견하지 못했다.
운영자는 다운로드 도메인을 2026년 8월 22일, 자격증명 수집 도메인을 9월 14일에 등록했다. 본래의 기만 도메인은 10월 13일까지 오프라인 상태였다. 악성 웹사이트가 로드된 뒤 탐지까지 걸린 시간은 21초였다.
한편 1월 WatchGuard는 유사 주소를 신고한 바 있으나, 당시 연구진은 사기성 다운로드 과정에서 작동하는 메커니즘을 찾지 못했다고 techradar.com은 전했다.
한눈에 보기
가짜 WatchGuard 사이트에서 내려받은 설치파일은 변조된 것인가?
아니다. 설치파일은 유효한 디지털 서명이 있는 Mobile VPN with SSL 클라이언트 12.11.5였고, Huntress는 정품 설치파일이 변조됐다는 증거를 찾지 못했다.
어떤 정보가 탈취됐나?
VPN 서버 주소와 사용자 이름, 비밀번호가 수집됐으며, 이 자격증명은 watchguard-ssl[.]online 도메인으로 전송됐다.