Attacco alle VPN aziendali: il software è vero, il sito è una trappola

Un programma autentico non è necessariamente garanzia di sicurezza, soprattutto quando viene scaricato da un sito fraudolento.

È quanto emerge da un attacco informatico che ha preso di mira le credenziali degli amministratori di rete attraverso una pagina che imitava il portale ufficiale di WatchGuard. Secondo l’indagine condotta dai ricercatori di sicurezza di Huntress e riportata da TechRadar, i criminali hanno raccolto informazioni di accesso prima di avviare il download del software legittimo.

Questa tecnica permette di ingannare anche gli utenti più attenti, perché l’installazione apparentemente regolare non mostra necessariamente segnali evidenti di compromissione.

Il falso sito WatchGuard sottrae le credenziali VPN

L’indagine è partita dopo il rilevamento di attività sospette riconducibili a un amministratore che lavorava per un fornitore di servizi IT gestiti. L’utente aveva cercato su Bing una pagina per scaricare il client VPN di WatchGuard, raggiungendo watchguard-vpn[.]net, un dominio progettato per assomigliare al sito del produttore.

La pagina proponeva il download del client Mobile VPN with SSL e mostrava un modulo che richiedeva l’indirizzo del server VPN, il nome utente e la password. Questi dati corrispondevano alle informazioni necessarie per configurare il programma originale, rendendo la richiesta plausibile nel contesto dell’installazione.

Le credenziali venivano trasmesse a watchguard-ssl[.]online, un dominio separato utilizzato per raccogliere le informazioni. Secondo Huntress, lo script respingeva il primo invio e cancellava i campi compilati, inducendo la vittima a inserire nuovamente i dati. Questo comportamento poteva consentire agli aggressori di acquisire più tentativi di accesso.

I ricercatori hanno ricostruito anche la registrazione dell’infrastruttura: il dominio destinato al download è stato registrato il 22 agosto 2026, mentre quello impiegato per raccogliere le credenziali è comparso il 14 settembre. WatchGuard aveva già segnalato l’indirizzo sospetto a gennaio, ma in quel momento non era stato individuato un meccanismo operativo equivalente a quello successivamente analizzato.

Il software autentico rende più difficile scoprire la truffa

Dopo la raccolta delle credenziali, il sito avviava il download attraverso la rete ufficiale di distribuzione dei contenuti di WatchGuard, anziché consegnare un programma contraffatto. Il pacchetto era Mobile VPN with SSL versione 12.11.5, dotato di una firma digitale valida attribuita a WatchGuard Technologies e di una marca temporale del 4 novembre 2025.

Huntress ha verificato che il programma non risultava modificato dopo la firma digitale. Gli investigatori, quindi, non hanno trovato prove di alterazioni dell’eseguibile: il furto avveniva attraverso il modulo web, prima dell’avvio dell’installazione. Questo distingue la campagna dagli attacchi che distribuiscono applicazioni manomesse o librerie dannose, potenzialmente individuabili attraverso l’analisi dei file.

Nel caso esaminato, il team di sicurezza ha rilevato l’attività 21 secondi dopo il caricamento del sito e ha fornito indicazioni per la gestione dell’incidente. Huntress non ha osservato ulteriori segnali di escalation durante l’episodio analizzato, ma il dominio fraudolento risultava offline il 13 ottobre. Tale circostanza non dimostra che tutta l’infrastruttura collegata fosse stata disattivata.

Per le aziende, la vicenda conferma l’importanza di verificare l’origine dei download e di proteggere gli account amministrativi con autenticazione a più fattori. In presenza di credenziali potenzialmente esposte, occorre reimpostare le password e controllare gli accessi VPN alla ricerca di attività anomale. La validità della firma digitale, da sola, non certifica l’affidabilità del sito da cui proviene un file.