WatchGuard VPNを装うフィッシング攻撃、認証情報を窃取後に正規インストーラーを配布
WatchGuard VPNを装うフィッシング攻撃、認証情報を収集後に正規インストーラーを配布
WatchGuard VPNの公式サイトを装ったフィッシングサイトを通じて利用者の認証情報を収集し、その後、正規のデジタル署名が付いたWatchGuardのインストーラーをダウンロードさせる攻撃が確認された。今回の攻撃では、悪意のあるソフトウェアを配布するのではなく、正規のインストーラーを提供することで、利用者に通常のVPN導入手続きだと認識させる手法が用いられている。攻撃者は偽サイト上でVPNサーバーのアドレス、ユーザー名、パスワードなどを収集し、VPNへの不正アクセスに悪用できる情報を取得しようとしていた。
攻撃には「watchguard-vpn.net」というフィッシングドメインが使用され、正規のWatchGuard Mobile VPNのダウンロードサイトに見せかけていた。利用者がこのサイトでVPNサーバー情報や認証情報を入力すると、入力内容がJSON形式で攻撃者側に送信される仕組みとなっていた。サイトは比較的簡素なJavaScriptで構成されており、10月初旬にはアクセスできない状態となった。攻撃者は有料広告ではなく、検索エンジン最適化（SEO）を利用してBingの検索結果から利用者を誘導していたとされる。さらに、利用者が2回目の情報入力を行うと、正規のWatchGuardインストーラーが自動的にダウンロードされる構成となっていた。
実際にダウンロードされたファイルは、WatchGuardの正規インストーラーであり、デジタル署名も有効で、署名後に改ざんされた形跡は確認されなかった。このことから、今回の攻撃ではインストーラー自体に悪意のあるコードを組み込むのではなく、ダウンロード前のWebページ上で認証情報を収集することが主な目的だったと考えられる。また、2回目の情報入力が完了していない場合でも、それ以前に送信されたVPNサーバー情報や認証情報が攻撃者側に渡っている可能性がある。
WatchGuardに関連する過去の調査やMicrosoftの分析では、VPNクライアントなどの正規ソフトウェアを装ったフィッシング手法が取り上げられており、同様の手口がほかのセキュリティ製品のダウンロードページを装う攻撃に利用される可能性も指摘されている。こうした攻撃では、ダウンロードされるファイルが正規のものであっても、そこに至るまでのWebページで認証情報が収集されるおそれがある。セキュリティ管理者は、偽のダウンロードサイトや不審な検索結果からの誘導を確認するとともに、ソフトウェアの入手先が正規の提供元であるかを検証する必要がある。また、多要素認証の導入に加え、関連する不正ドメインやIPアドレスを監視・遮断対象として管理することが、認証情報の悪用や類似攻撃の検出につながる。
