Sahte WatchGuard VPN sitesi admin şifrelerini çaldı

Sahte WatchGuard VPN sitesi nasıl çalıştı?

Sayfa, bir üretici indirme portalı gibi görünüyordu ve form tam olarak gerçek istemcinin istediği bilgileri talep ediyordu.

Huntress, bir yönetilen hizmet sağlayıcısındaki yöneticinin şüpheli etkinliği bildirmesiyle harekete geçti. Yönetici, Bing'de WatchGuard VPN indirmesi aratmış ve WatchGuard'ın resmi indirme sayfalarına benzeyecek şekilde kurulmuş watchguard-vpn[.]net alan adına yönlenmişti.

Site, "Mobile VPN with SSL" indirmesi sunuyor ve önüne bir form koyuyordu: sunucu adresi, kullanıcı adı, şifre. Gerçek istemciyi daha önce kuran herkes bu alanların istendiğini bilir; dolayısıyla talep ilk bakışta tuhaf görünmüyor.

Formun gönderilmesi bilgileri ayrı bir alan adına, watchguard-ssl[.]online'a iletti. Ardından betik ilk denemeyi reddedip alanları temizledi ve kurban her şeyi yeniden yazdı. Bu ikinci tur, operatörlere taze bir kimlik bilgisi seti kazandırdı.

Alan adlarının kayıt tarihleri de kendi hikâyesini anlatıyor. Huntress, indirme alan adının 22 Ağustos 2026'da, kimlik bilgisi toplama alan adının ise 14 Eylül'de kaydedildiğini buldu. WatchGuard benzer adresi daha Ocak ayında bildirmişti, ancak o dönemde araştırmacılar ziyaretçileri sahte bir indirmeye yönlendiren çalışan bir mekanizma bulamamıştı.

Gerçek kurulum dosyası kamuflaj görevi görüyor

İkinci gönderimden sonra site, gerçek istemciyi WatchGuard'ın içerik dağıtım ağından çekti.

Gelen dosya, geçerli bir WatchGuard Technologies imzası ve 4 Kasım 2025 tarihli zaman damgası taşıyan Mobile VPN with SSL istemcisi 12.11.5'ti. Huntress, kurulum dosyasının imzalandıktan sonra değiştirilmediğini doğruladı; yani saldırganların çalıştırılabilir dosyayı kurcaladığına dair bir kanıt yok.

İşin zekice kısmı burada. İndirmeye dayalı saldırıların çoğu zehirli bir kurulum veya kötü amaçlı bir kütüphane verir; uç nokta korumasının dosyayı inceleme sırasında yakalama şansı bir hayli yüksektir. Burada dosya temiz, çünkü üreticinin kendi derlemesi ve üreticinin kendi sunucularından geliyor.

Kurban ayrıca çalışan bir VPN istemcisi elde ediyor. Kurulum tamamlanıyor, bağlantı kuruluyor ve kimlik bilgilerinin çoktan gittiğini düşünmek için pek bir sebep kalmıyor. Hırsızlık, indirme başlamadan önce tarayıcıda gerçekleşiyor; bu yüzden kötü amaçlı yazılım odaklı savunmaların elinde oynayacak çok az şey kalıyor.

Huntress'in raporundaki bir ayrıntı akılda tutulmaya değer: araştırmacılar olay sırasında resmi sunucudan kaydedilmiş bir indirme bulamadı. Kullanıcı iki kimlik bilgisi gönderimini de hiç tamamlamamış olabilir. Tespit, kötü amaçlı sayfa yüklendikten 21 saniye sonra tetiklendi ve güvenlik ekibine işler kontrolden çıkmadan önce müdahale alanı bıraktı.

Arama sonuçları neden kapı görevi görüyor?

Kurban URL'yi yanlış yazmadı. Arama yaptı ve sahte sayfa orada bekliyordu.

Bu, SEO zehirlemenin en yalın hali: BT çalışanlarının gün boyu yazdığı bir sorgu için benzer bir sayfayı üst sıralara taşı, sonra teslimatı arama motoruna bırak. Bu vakada giriş kapısı Bing'di, ancak teknik tek bir motorla sınırlı değil. Aynı oyun planı, Microsoft kimlik avı dalgasında 40 bin şirkete ulaşan sahte takvim davetlerinde de işledi: güvenilen yüzey, tanıdık form, uçup giden kimlik bilgileri.

Hedef seçimi de önemli. Ücretsiz VPN arayan bir tüketici baş ağrısıdır. Yönetilen hizmet sağlayıcısındaki bir yönetici ise aynı anda birçok kapının anahtarıdır; VPN kimlik bilgileri de saldırganların başka bir şey aramaya başlamadan önce ele geçirmek istediği tam o erişim türüdür.

Huntress, ana aldatıcı alan adının 13 Ekim itibarıyla çevrimdışı olduğunu bildirdi. Bu, altyapının geri kalanı hakkında kesin bir şey söylemiyor; benzer alan adları o kadar ucuz ki bir kapatma operasyonu nadiren kampanyanın sonu oluyor.

• Üreticinin kendi sitesinden ulaşmadığınız bir indirme sayfasına girdiğiniz bilgileri sıfırlayın.
• VPN erişimi için çok faktörlü kimlik doğrulamayı, tercihen donanım anahtarları veya numara eşleştirme ile açın.
• VPN günlüklerini tanımadığınız adreslerden veya tuhaf saatlerde yapılan girişler için inceleyin.
• Çalışanları resmi üretici indirme sayfalarına yer imleri veya üreticinin belgeleri üzerinden yönlendirin, arama sonuçlarından değil.

Türkiye'de durum ne?

Kampanya belirli bir ülkeye bağlı değil. WatchGuard'ın Mobile VPN with SSL istemcisini kullanan ve çalışanları indirmeyi doğrudan WatchGuard'a gitmek yerine arama motorunda aratan her kuruluş, Türkiye'dekiler de dahil, potansiyel hedef. Alan adı 13 Ekim itibarıyla çevrimdışıydı, ancak bağlantılı altyapı hâlâ ayakta olabilir.

WatchGuard'ın bu olaya özel yayımlanmış bir müşteri uyarısına ulaşamadık; bu yüzden Huntress'in bulgularını birincil kaynak olarak almak gerekiyor. Ekibiniz istemciyi son zamanlarda kurduysa, kurulum dosyasının nereden geldiğini kontrol edin. Türkiye'deki kurumsal kullanıcılar için pratik adım, VPN erişiminde çok faktörlü doğrulamayı zorunlu kılmak ve indirme adreslerini yer imlerine taşımak.

Rahatsız edici ders şu: temiz bir indirme artık temiz bir sayfanın kanıtı değil. Saldırganların WatchGuard'ın imzasını kırmasına gerek yoktu; acele eden bir yönetici ve doğru görünen bir arama sonucu yeterliydi. Üretici sayfasını yer imlerine ekleyin ve şifre yazmadan önce adresi kontrol edin.