Cảnh báo chiến dịch giả mạo trang tải VPN WatchGuard để đánh cắp thông tin

Các chuyên gia an ninh mạng phát hiện một chiến dịch tấn công tinh vi nhắm vào người dùng doanh nghiệp bằng cách giả mạo trang web tải xuống phần mềm VPN của WatchGuard nhằm đánh cắp thông tin đăng nhập.

Phương thức tấn công tinh vi qua SEO Poisoning

Theo báo cáo từ các nhà nghiên cứu tại Huntress, sự việc được phát hiện sau một sự cố ngày 7 tháng 10 liên quan đến quản trị viên của một nhà cung cấp dịch vụ quản lý (MSP). Kẻ xấu đã lợi dụng kỹ thuật SEO poisoning để đưa trang web giả mạo lên vị trí cao trên kết quả tìm kiếm của Bing, đánh lừa người dùng nhấp vào.

Khi nạn nhân tìm kiếm các từ khóa như 'watchguard vpn sll download', họ sẽ thấy trang web giả mạo có thiết kế chuyên nghiệp, đầy đủ thông tin sản phẩm và thương hiệu WatchGuard để tạo sự tin tưởng tuyệt đối.

Cơ chế thu thập thông tin đăng nhập

Điểm mấu chốt của cuộc tấn công là khi người dùng bấm tải xuống, một cửa sổ pop-up hiện ra yêu cầu nhập Server, Username và Password. Do đây là các thông tin quen thuộc khi kết nối VPN, nạn nhân rất dễ mất cảnh giác.

Kẻ tấn công dùng khoảng 150 dòng mã JavaScript để đóng gói dữ liệu dưới dạng JSON và gửi đến máy chủ qua yêu cầu HTTP POST. Đáng chú ý, script này luôn từ chối lần nhập đầu tiên, hiển thị thông báo 'Incorrect data' để ép người dùng nhập lại, giúp chúng xác thực chính xác thông tin.

Biện pháp phòng ngừa và khuyến cáo

Trước tình trạng các cuộc tấn công sử dụng SEO ngày càng phổ biến, các quản trị viên và đội ngũ SOC cần rà soát hệ thống, tăng cường hardening, đồng thời nâng cao nhận thức cho người dùng cuối về việc kiểm tra kỹ nguồn gốc phần mềm.