Un falso sito WatchGuard VPN inganna gli utenti rubando le credenziali di accesso prima di fornire il software autentico. Le azioni per bloccare le intrusioni.
Chi cerca su Google o Bing il client di connessione remota dell'azienda rischia di imbattersi in un falso sito WatchGuard VPN. Il portale ingannevole ruba nome utente, password e indirizzo del server aziendale, per poi scaricare il software originale (WatchGuard Mobile VPN with SSL, version 12.11.5). Non essendoci codice maligno nel programma scaricato, gli antivirus non intervengono. Per proteggere la rete, è necessario imporre l'autenticazione a più fattori (MFA) sul firewall e reimpostare le password sospette.
La campagna Storm-2561 e la trappola sui motori di ricerca
Il 7 ottobre 2026, un amministratore di sistema di un fornitore di servizi IT ha cercato su Bing il client VPN di WatchGuard digitando la query con refuso “watchguard vpn sll download”. A causa di una tecnica di manipolazione dei risultati di ricerca nota come SEO poisoning, tra i primi link proposti dal motore di ricerca è comparso il dominio contraffatto watchguard-vpn[.]net, registrato il 22 agosto 2026.
Secondo le analisi pubblicate il 13 ottobre 2026 dalla società di sicurezza Huntress e riprese da IlSoftware.it, l'infrastruttura malevola fa parte di una campagna attribuita al gruppo Storm-2561, noto per attività a scopo di estorsione finanziaria. Rispetto alle ondate di attacchi precedenti di gennaio 2026, che utilizzavano file contraffatti ospitati su GitHub, questa specifica variante elimina del tutto l'uso di malware per non generare allarmi nei sistemi di difesa perimetrale e sui computer degli utenti.
Sintomi dell'attacco: l'errore "Incorrect data, please enter again to start"
La pagina trappola si presenta in modo professionale con il titolo “WatchGuard Firebox VPN Client”. Prima di consentire lo scaricamento del programma, un modulo richiede la compilazione di tre campi specifici: “Server”, “Login” e “Password”. Un file JavaScript non offuscato di circa 150 righe, denominato “popup.js”, gestisce l'acquisizione dei dati in locale.
Il sintomo principale della truffa è il rifiuto sistematico del primo tentativo di accesso. Lo script mostra deliberatamente il messaggio di errore fittizio “Incorrect data, please enter again to start”. Questo stratagemma costringe l'utente a digitare nuovamente i dati, permettendo a chi attacca di raccogliere eventuali varianti della password o di correggere errori di battitura. I dati vengono poi inviati al dominio di esfiltrazione watchguard-ssl[.]online (registrato il 14 settembre 2026) tramite una chiamata HTTP POST, utilizzando payload JSON etichettati come “first” o “second” a seconda del tentativo.
Perché il falso sito elude gli antivirus e i sistemi EDR
Questa modalità di attacco annulla l'efficacia dei tradizionali sistemi di protezione degli endpoint. Dopo aver rubato le credenziali, il falso portale avvia lo scaricamento della versione “12.11.5” del client. Il file proviene direttamente dalla rete di distribuzione ufficiale (cdn.watchguard.com) e possiede una firma digitale Authenticode integra e valida emessa da WatchGuard Technologies.
Poiché il software installato è autentico e privo di alterazioni, i software antivirus e i sistemi EDR (Endpoint Detection and Response) non rilevano alcuna anomalia. Chi attacca ottiene così le chiavi di accesso e l'indirizzo IP del gateway aziendale, mentre l'utente crede di aver completato una normale procedura di installazione. Il caso documentato ha coinvolto direttamente il personale tecnico, dimostrando che la ricerca di file di installazione sui motori di ricerca espone a rischi concreti anche i professionisti del settore.
Cosa fare per bloccare gli accessi non autorizzati
Non essendoci una vulnerabilità nel software WatchGuard, non esistono identificativi CVE né aggiornamenti cumulativi (KB) da attendere. La difesa si basa esclusivamente sulla corretta configurazione degli accessi e sulle procedure aziendali di distribuzione del software.
Azioni immediate di verifica e contenimento:
- Revoca immediata delle credenziali: forzare il cambio password per tutti gli utenti che hanno configurato o scaricato un client VPN negli ultimi 30 giorni.
- Controllo dei registri di connessione: esaminare i log del firewall WatchGuard per individuare eventuali tentativi di autenticazione VPN provenienti da indirizzi IP sconosciuti, sistemi autonomi (ASN) anomali o posizioni geografiche non compatibili con la dislocazione del personale aziendale.
- Filtro DNS: bloccare sui resolver aziendali i domini
watchguard-vpn[.]netewatchguard-ssl[.]online. È inoltre consigliato impostare regole di blocco preventivo per i domini registrati di recente che imitano i marchi tecnologici in uso.
Soluzioni definitive per l'infrastruttura:
- Attivare l'autenticazione a più fattori (MFA) sul firewall: rendere obbligatorio un secondo fattore di autenticazione su tutti gli accessi Mobile VPN with SSL. In questo modo, anche se la password viene intercettata dal falso portale, l'intrusione fallisce in assenza della conferma sul dispositivo mobile dell'utente.
- Centralizzare l'installazione dei programmi: vietare agli utenti e ai tecnici di reperire software tramite i motori di ricerca. Distribuire i pacchetti VPN tramite criteri di gruppo (GPO), sistemi di gestione delle postazioni di lavoro o attingendo esclusivamente all'area protetta
software.watchguard.comprecedentemente salvata tra i preferiti.
Verificate con il vostro reparto tecnico se le policy del firewall aziendale impongono già il doppio fattore per tutte le connessioni remote.
