Telset.id – Situs unduhan palsu yang meniru halaman WatchGuard mencuri kredensial VPN administrator sambil tetap mengirimkan paket instalasi asli kepada korban. Investigasi tim keamanan Huntress mengungkap bahwa domain tiruan watchguard-vpn[.]net mengumpulkan alamat server, username, dan password sebelum mengunduh klien resmi dari WatchGuard, sehingga korban tidak menyadari kredensialnya telah bocor.
Kasus ini terungkap setelah aktivitas mencurigakan melibatkan seorang administrator yang bekerja untuk managed service provider terdeteksi. Menurut temuan Huntress, pengguna tersebut mencari unduhan WatchGuard VPN melalui Bing sebelum mengunjungi situs menyesatkan yang dirancang menyerupai halaman unduhan resmi vendor. Situs itu menawarkan unduhan bertajuk Mobile VPN with SSL dan menampilkan formulir yang meminta server address, username, serta password.
Data yang diminta tersebut identik dengan informasi yang dibutuhkan klien VPN asli, sehingga permintaan itu tampak wajar dalam proses instalasi biasa. Namun, saat formulir dikirim, informasi dialihkan ke domain terpisah watchguard-ssl[.]online, tempat penyerang menampung kredensial untuk kemungkinan digunakan terhadap jaringan organisasi korban.
Modus Skrip Penipuan dan Kronologi Domain
Huntress mengungkap bahwa skrip berbahaya menolak pengiriman pertama dan mengosongkan kolom formulir, sehingga mendorong korban memasukkan informasi untuk kedua kalinya. Pola ini berpotensi memberi penyerang beberapa percobaan password sekaligus. Operator mendaftarkan domain unduhan pada 22 Agustus 2026, sementara domain pengumpulan kredensial muncul pada 14 September. WatchGuard sebelumnya telah melaporkan alamat tiruan itu pada Januari, meski peneliti saat itu tidak menemukan mekanisme yang berfungsi mengarahkan pengunjung melalui proses unduhan palsu.
Setelah menerima pengiriman kedua, situs tersebut memulai unduhan dari content delivery network resmi WatchGuard, bukan menyediakan paket instalasi tiruan. File yang diunduh adalah klien Mobile VPN with SSL versi 12.11.5, membawa tanda tangan digital valid dari WatchGuard Technologies dan timestamp bertanggal 4 November 2025. Huntress memverifikasi bahwa installer tetap tidak berubah setelah ditandatangani, sehingga peneliti tidak menemukan bukti penyerang memodifikasi executable yang sah.
Baca Juga:
Pendekatan ini berbeda dari kampanye yang menyebarkan installer yang dimodifikasi atau library berbahaya, yang mungkin dikenali produk perlindungan endpoint melalui inspeksi file. Unduhan asli juga membuat korban nyaris tidak punya alasan mencurigai kredensialnya telah dikompromikan, karena instalasi dapat berjalan normal sesudahnya. Huntress tidak menemukan catatan unduhan dari server resmi selama insiden yang diinvestigasi, yang menunjukkan pengguna mungkin tidak menyelesaikan kedua pengiriman kredensial.
Deteksi muncul 21 detik setelah situs berbahaya dimuat, memungkinkan tim security operations memberikan panduan remediasi sebelum peneliti mengamati eskalasi lebih lanjut. Huntress melaporkan bahwa domain menyesatkan utama sudah offline pada 13 Oktober, meski status itu tidak memastikan apakah infrastruktur terkait masih aktif di tempat lain. Serangan ini menghindari banyak pemeriksaan malware karena situs palsu mencuri kredensial VPN melalui browser sebelum mengunduh software asli.
Langkah Mitigasi untuk Organisasi
Organisasi disarankan mereset password yang telah dikompromikan, mengaktifkan multifactor authentication, memeriksa login VPN yang mencurigakan, dan mengarahkan karyawan ke halaman unduhan software resmi. Ancaman berbasis rekayasa sosial semacam ini menegaskan pentingnya verifikasi sumber unduhan, sejalan dengan kekhawatiran yang muncul dalam kasus Deepfake AI yang menyoroti risiko manipulasi digital terhadap kepercayaan pengguna.
Selain itu, penguatan aturan terhadap penyalahgunaan teknologi manipulatif turut menjadi perhatian lintas negara, seperti terlihat pada langkah Aturan Deepfake China. Bagi tim TI, insiden WatchGuard ini menjadi pengingat bahwa paket instalasi yang sah bukan jaminan proses unduhan bebas dari pencurian data. Karyawan yang mengunduh klien VPN sebaiknya selalu mengakses halaman resmi vendor secara langsung, bukan melalui hasil pencarian yang berpotensi disusupi tautan tiruan.
[ META_DESCRIPTION]
Situs palsu WatchGuard mencuri kredensial VPN administrator lewat formulir tiruan sambil mengirim software asli. Simak modus dan langkah mitigasinya.
Komentar
Belum ada komentar.