Podvodný výsledek vyhledávání žádal VPN přístupy ještě před stažením. Pravý digitální podpis instalátoru neznamenal, že lze důvěřovat webu.
Výzkumníci odhalili podvrženou stránku pro stažení WatchGuard VPN. Před nabídnutím pravého instalačního souboru vyžadovala přihlašovací údaje uživatele.
Hlavní zjištění
- Falešná stránka pro stažení WatchGuard VPN se objevovala ve výsledcích Bingu.
- Shromažďovala adresy VPN serverů, uživatelská jména a hesla.
- Po druhém odeslání údajů nabídla pravý, digitálně podepsaný instalátor WatchGuardu.
- K 13. říjnu už doména nebyla dostupná. Každý, kdo údaje zadal, by však měl informovat IT a změnit dotčená hesla.
Výsledek hledání jako past na přihlašovací údaje
Člověk hledající legitimní pracovní VPN nemusí očekávat nebezpečí ještě před samotným stažením. Výzkum Huntress zveřejněný 13. října však popisuje falešný portál WatchGuard VPN, který shromažďoval citlivé přihlašovací údaje, přestože nakonec poskytl skutečný software.
Dne 7. října správce u poskytovatele spravovaných služeb klikl v Bingu na výsledek vyhledávání WatchGuard VPN s překlepem. Cílová stránka watchguard-vpn[.]net připomínala web výrobce pro stahování. Huntress tento postup označil za SEO poisoning: útočníci lákali uživatele přes viditelnost ve vyhledávání, nikoli pomocí škodlivé reklamy.
Pravý instalátor následoval až po krádeži
Volba stažení otevřela formulář požadující adresu VPN serveru, uživatelské jméno a heslo. Skutečný klient podobné údaje při připojování potřebuje. Neznámý web, který je vyžaduje už před stažením, je ale varovným signálem. Informace se skrytě odesílaly na sběrnou doménu watchguard-ssl[.]online. Útočníci se tak mohli pokusit o neoprávněný přístup do VPN.
První pokus stránka odmítla, i když byly údaje správné, a přiměla návštěvníka zadat je znovu. Po druhém odeslání skript zahájil stažení pravého WatchGuard Mobile VPN with SSL. Výzkumníci ověřili podpis i integritu instalátoru a dospěli k závěru, že software nebyl pozměněn. Neexistoval tedy infikovaný spustitelný soubor, který by podvod prozradil.
Proč je varování stále důležité
Huntress nenašel záznam o konečném stažení, což naznačuje, že správce oba kroky nedokončil. Bezpečnostní tým vyvolal upozornění už 21 sekund po načtení podvodné stránky. Podle výzkumníků byla doména k 13. říjnu mimo provoz, ale stejnou techniku lze použít znovu jinde.
WatchGuard označil podobnou doménu už v lednu jako součást širší kampaně zaměřené na značky VPN. Kdo zadal údaje na podezřelém webu, měl by informovat IT, změnit dotčená hesla a požádat o kontrolu logů přístupu do VPN. Požádejte IT také o vynucení vícefaktorového ověřování a software získávejte z oficiální stránky nebo přes firemně schválený odkaz. Platný podpis programu neověřuje důvěryhodnost stránky, která vás k němu přivedla.
Podezřelé odkazy pro stažení lze ověřit pomocí Bitdefender Scamio. Na osobních zařízeních může další ochranu před phishingem a podvodnými weby poskytnout Bitdefender Ultimate Security. U pracovní VPN se vždy řiďte schválenými pokyny vašeho IT týmu.
