مهاجمان از یک وب‌سایت جعلی برای دانلود VPN شرکت WatchGuard استفاده کردند تا پیش از ارائه فایل نصبی واقعی و دارای امضای دیجیتال، اطلاعات ورود کاربران را سرقت کنند. در این حمله، آدرس سرور VPN، نام کاربری و رمز عبور از طریق یک پنجره pop-up در مرورگر جمع‌آوری شده است؛ به طوری که قربانیان حتی بدون نصب هیچ‌گونه کلاینت مخربی، در معرض خطر قرار گرفتند.
مکانیسم حمله و مسموم‌سازی موتورهای جستجو
این کمپین نشان می‌دهد که چگونه یک جستجوی ساده برای یافتن نرم‌افزار می‌تواند به سرقت اعتبارنامه‌ها (Credential Theft) منجر شود. در این مورد، مهاجمان از تکنیک SEO Poisoning (مسموم‌سازی بهینه‌سازی موتورهای جستجو) استفاده کردند تا وب‌سایت جعلی خود را در نتایج برتر موتور جستجوی Bing قرار دهند. بررسی‌های محققان شرکت Huntress نشان داد که یک مدیر سیستم در یک شرکت ارائه‌دهنده خدمات مدیریت شده (MSP)، پس از جستجوی عبارت “watchguard vpn sll download”، تنها پس از ۸ ثانیه وارد این سایت مخرب شده است.
تحلیل فنی صفحه فرود (Landing Page)
صفحه جعلی با استفاده از برندینگ، اطلاعات محصول و بخش پرسش و پاسخ WatchGuard طراحی شده بود تا کاملاً معتبر به نظر برسد. روند حمله به شرح زیر بود:
- کاربر با کلیک روی دکمه دانلود، به یک صفحه پشتیبانی جعلی هدایت می‌شد که نسخه‌های مختلف سیستم‌عامل را ارائه می‌کرد.
- پس از انتخاب سیستم‌عامل، درخواستی برای وارد کردن Server، Login و Password ظاهر می‌شد.
- منطق جذب اطلاعات توسط حدود ۱۵۰ خط کد JavaScript پیاده‌سازی شده بود که داده‌ها را در قالب JSON و از طریق درخواست HTTP POST به یک سرور جمع‌آوری مجزا ارسال می‌کرد.
ترفند روان‌شناختی برای افزایش دقت سرقت
نکته قابل توجه در این حمله، طراحی هوشمندانه اسکریپت برای فریب کاربر بود. سیستم در اولین تلاش برای ورود اطلاعات، همواره پیام “Incorrect data” (داده‌های نادرست) را نمایش می‌داد و فیلدها را پاک می‌کرد. این اقدام باعث می‌شد کاربر تصور کند رمز عبور را اشتباه تایپ کرده و برای بار دوم، اطلاعات دقیق‌تر یا رمزهای جایگزین را وارد کند و بدین ترتیب، مهاجمان به مجموعه کامل‌تری از اعتبارنامه‌ها دست یابند.
تأیید اصالت فایل نصبی
پس از دومین تلاش ناموفق، پیام به رنگ سبز تغییر کرده و لینک دانلود نسخه ۱۲.۱۱.۵ نرم‌افزار WatchGuard Mobile VPN با SSL از طریق CDN رسمی شرکت WatchGuard فعال می‌شد. محققان تأیید کردند که امضای دیجیتال (Digital Signature) این فایل معتبر بوده و محتوای آن تغییر نکرده است. این استراتژی باعث می‌شود کاربر پس از نصب نرم‌افزار رسمی، هیچ مشکوکی به وقوع حمله در مرحله قبل نداشته باشد.
توصیه‌های امنیتی برای مدیران SOC و CISOs
برای مقابله با این گونه حملات، اقدامات زیر توصیه می‌شود:
- اعمال MFA: الزام استفاده از احراز هویت چندعاملی (Multifactor Authentication) برای تمامی دسترسی‌های VPN تا سرقت رمز عبور به تنهایی منجر به نفوذ نشود.
- مدیریت رمزهای عبور: تغییر فوری رمزهای عبوری که احتمالاً در سایت‌های مشکوک وارد شده‌اند.
- آموزش کارکنان: توصیه‌ی پرسنل به استفاده از لینک‌های Bookmark شده و رسمی پورتال‌های نرم‌افزاری به جای تکیه بر نتایج موتورهای جستجو.
- پایش لاگ‌ها: بررسی لاگ‌های ورود به VPN برای شناسایی تلاش‌های غیرعادی یا ورود از مکان‌های نامتعارف.
