تستهدف حملة تسميم تحسين محركات البحث (SEO) عملاء شبكات المؤسسات باستخدام أساليب التصيد الاحتيالي لبيانات الاعتماد – حيث تجمع عمليات تسجيل الدخول إلى الخادم أثناء تقديم الملفات التنفيذية الأصلية لتجنب اكتشاف الأمان
- يسرق موقع ويب WatchGuard VPN المزيف بيانات اعتماد المسؤول أثناء تقديم برامج شرعية
- قام المهاجمون بجمع عناوين خادم VPN وأسماء المستخدمين وكلمات المرور
- رفض موقع الويب الاحتيالي الطلبات الأولية لجمع بيانات الاعتماد للمرة الثانية
ادعى الخبراء أن موقع تنزيل WatchGuard الاحتيالي سرق تفاصيل تسجيل الدخول إلى VPN أثناء توفير حزمة التثبيت الأصلية.
قام محققو الأمن في Huntress بتتبع النشاط إلى مجال مشابه قام بجمع تفاصيل الاتصال قبل تنزيل العميل الشرعي.
ال بدأ التحقيق بعد اكتشاف نشاط مشبوه يتعلق بمسؤول يعمل لدى مزود خدمة مُدارة.
أحدث مقاطع الفيديو منتك رادار
تقوم صفحات التنزيل المزيفة بجمع بيانات اعتماد المستخدم
وجد المحققون أن المستخدم قد بحث في Bing عن تنزيل WatchGuard VPN قبل زيارة موقع ويب مخادع مصمم ليشبه صفحات التنزيل الرسمية للبائع.
عرض موقع الويب، watchguard-vpn(.)net ، برنامجًا مزعومًا VPN المحمول مع تنزيل SSL وعرض نموذج يطلب عنوان الخادم واسم المستخدم وكلمة المرور.
هذه التفاصيل مطابقة للمعلومات المطلوبة من قبل حقيقية VPN العميل، مما يجعل الطلب يبدو متسقًا مع عملية التثبيت العادية.
يؤدي إرسال النموذج إلى نقل المعلومات إلى مجال منفصل، watchguard-ssl(.)online ، حيث يقوم المهاجمون بجمع بيانات الاعتماد لاستخدامها المحتمل ضد شبكة المنظمة.
رفض البرنامج النصي الضار الإرسال الأول وقام بمسح الحقول، مما دفع الضحية إلى إدخال المعلومات مرة أخرى ومن المحتمل أن يزود المهاجمين بمحاولات متعددة لكلمة المرور.
وكشفت Huntress أن المشغلين سجلوا نطاق التنزيل في 22 أغسطس 2026، بينما ظهر مجال جمع بيانات الاعتماد في 14 سبتمبر.
وكانت WatchGuard قد أبلغت سابقًا عن العنوان المشابه في يناير، على الرغم من أن الباحثين لم يجدوا بعد ذلك أي آلية فعالة لتوجيه الزائرين خلال عملية التنزيل الاحتيالية.
يساعد البرنامج الأصلي في إخفاء سرقة بيانات الاعتماد
بعد جمع التقديم الثاني، بدأ موقع الويب التنزيل من شبكة تسليم المحتوى الرسمية لـ WatchGuard بدلاً من توفير حزمة تثبيت مزيفة.
كان الملف عبارة عن Mobile VPN مع إصدار عميل SSL 12.11.5، ويحمل توقيعًا رقميًا صالحًا من WatchGuard Technologies وطابعًا زمنيًا بتاريخ 4 نوفمبر 2025.
تحققت Huntress من أن أداة التثبيت ظلت دون تغيير بعد التوقيع، مما يعني أن المحققين لم يجدوا أي دليل على أن المهاجمين قاموا بتعديل الملف الشرعي القابل للتنفيذ.
ويختلف هذا النهج عن الحملات التي توزع أدوات التثبيت التي تم العبث بها أو المكتبات الضارة، والتي حماية نقطة النهاية قد يتم تحديد المنتجات من خلال فحص الملف.
يمنح التنزيل الأصلي أيضًا سببًا بسيطًا للضحايا للشك في أن بيانات الاعتماد الخاصة بهم قد تم اختراقها بالفعل، حيث يمكن متابعة التثبيت بشكل طبيعي بعد ذلك.
لم تعثر Huntress على أي تنزيل مسجل من الخادم الرسمي أثناء الحادث الذي تم التحقيق فيه، مما يشير إلى أن المستخدم ربما لم يكمل تقديم بيانات الاعتماد.
وقد وصل الاكتشاف بعد 21 ثانية من تحميل موقع الويب الضار، مما سمح لفريق العمليات الأمنية بتقديم إرشادات العلاج قبل أن يلاحظ المحققون المزيد من التصعيد.
ذكرت Huntress أن النطاق المخادع الرئيسي كان غير متصل بالإنترنت بحلول 13 أكتوبر، على الرغم من أن هذه الحالة لا تحدد ما إذا كانت البنية التحتية المرتبطة به لا تزال نشطة في مكان آخر.
الهجوم يتجنب الكثير البرمجيات الخبيثة يتم التحقق لأن موقع الويب المزيف يسرق بيانات اعتماد VPN من خلال browser قبل تنزيل البرنامج الأصلي.
يجب على المؤسسات إعادة تعيين كلمات المرور المخترقة، وتمكين المصادقة متعددة العوامل، والتحقق من عمليات تسجيل الدخول المشبوهة إلى VPN ، وتوجيه الموظفين إلى صفحات تنزيل البرامج الرسمية.
اتبع TechRadar على أخبار جوجل و أضفنا كمصدر مفضل للحصول على أخبار الخبراء والمراجعات والآراء في خلاصاتك.
