据TechRadar 10月18日报道，Huntress安全研究人员发现，一个仿冒WatchGuard的VPN下载网站会在向管理员提供官方签名安装包的同时，窃取其VPN服务器地址、用户名和密码，使攻击者可能直接获得企业网络的访问权限。
Huntress说，调查始于一名托管服务提供商管理员的可疑活动。该用户先在必应搜索WatchGuard VPN下载，随后进入一个仿冒厂商官方下载页面的网站。该网站域名为watchguard-vpn[.]net，页面提供所谓的“Mobile VPN with SSL”下载，并显示一个要求填写服务器地址、用户名和密码的表单。这些信息正是正版VPN客户端所需的登录内容，使表单看起来像是正常安装流程的一部分。
研究人员称，提交表单后，信息会被发送到另一个域名watchguard-ssl[.]online，攻击者在那里收集凭证，以备用于针对该组织网络。恶意脚本还会拒绝第一次提交并清空字段，促使受害者再次输入，从而可能给攻击者提供多次密码尝试机会。Huntress表示，下载域名注册于2026年8月22日，凭证收集域名则出现在9月14日。WatchGuard曾在1月报告过该仿冒地址，但研究人员当时未发现引导访客完成虚假下载流程的有效机制。
在受害者第二次提交后，该网站并未提供伪造安装包，而是从WatchGuard官方内容分发网络启动下载。文件为Mobile VPN with SSL客户端12.11.5版，带有WatchGuard Technologies的有效数字签名，时间戳为2025年11月4日。Huntress验证该安装程序在签名后未被改动，调查人员没有发现攻击者修改合法可执行文件的证据。
这一做法有别于分发被篡改安装程序或恶意库的活动，后者可能被端点防护产品通过文件检查识别。由于安装随后可以正常进行，受害者几乎没有理由怀疑凭证已经泄露。Huntress称，在调查所涉事件中没有记录到从官方服务器完成的下载，这表明用户可能没有完成两次凭证提交。恶意网站加载21秒后，安全检测被触发，安全运营团队得以在调查人员观察到进一步升级前提供修复指导。
Huntress报告称，截至10月13日，主要欺骗域名已下线，但这一状态不能确定相关基础设施是否仍在其他地方活跃。该攻击通过浏览器在下载正版软件前窃取VPN凭证，绕过了许多恶意软件检查。组织应重置已泄露密码、启用多因素认证、检查可疑VPN登录，并引导员工前往官方软件下载页面。