🔍 Contexte

Analyse publiée le 13 octobre 2026 par Huntress, basée sur un incident investigué début octobre 2026 impliquant un domaine lookalike ciblant les utilisateurs du WatchGuard Mobile VPN with SSL. L’article s’inscrit dans la continuité de recherches publiées par WatchGuard Secplicity en janvier 2026 et Microsoft Threat Intelligence en mars 2026.

🎯 Mécanisme d’attaque

La chaîne d’attaque repose sur du SEO poisoning : le domaine watchguard-vpn[.]net remonte dans les résultats Bing lors d’une recherche de téléchargement du client VPN. Le 7 octobre 2026, un administrateur d’un MSP a cliqué sur ce résultat 8 secondes après sa recherche.

Le site présente une page imitant le portail WatchGuard et affiche un pop-up de collecte de credentials (Server, Login, Password) via un script JavaScript non obfusqué (popup.js). Les données sont envoyées en JSON vers le domaine collecteur watchguard-ssl[.]online.

Mécanisme de double soumission :

  • La première soumission est délibérément rejetée avec un message d’erreur rouge (“Incorrect data”)
  • L’utilisateur ressaisit ses credentials (potentiellement différents), permettant à l’attaquant de collecter deux jeux d’identifiants
  • Après la seconde soumission, le script déclenche le téléchargement du vrai installateur WatchGuard signé depuis cdn.watchguard.com

📦 Particularité technique

Contrairement aux itérations précédentes de la campagne (faux MSI avec DLL malveillantes), cette version ne déploie aucun fichier malveillant. L’installateur livré est authentique :

  • Inno Setup, version 12.11.5
  • Signature Authenticode valide de WatchGuard Technologies, Inc.
  • Certificat émis par Sectigo Public Code Signing CA R36
  • Hash SHA256 vérifié intact : fb3c39ba…0032ac1f

🏗️ Infrastructure

Domaine IP Registrar Date enregistrement
watchguard-vpn[.]net 80.249.132[.]140 Realtime Register B.V. 22 août 2026
watchguard-ssl[.]online 158.94.209[.]19 Dynadot 14 septembre 2026
  • 80.249.132[.]140 : hébergé chez Site BV / LeaseWeb Netherlands (AS60781)
  • 158.94.209[.]19 : hébergé chez Omegatech LTD (AS202412), Amsterdam
  • Au 8 octobre 2026, seulement 7 vendors VirusTotal flaggaient le domaine lure, 2 le collecteur

🔗 Contexte de campagne

La campagne plus large a été attribuée par Microsoft à Storm-2561, acteur financièrement motivé actif depuis mai 2025. Les itérations précédentes ciblaient également F5, Fortinet, SonicWall et Sophos. Le domaine watchguard-vpn[.]net avait été signalé en janvier 2026 (alors sans logique backend), puis ré-enregistré le 22 août 2026.

📰 Type d’article

Analyse technique et rapport d’incident produits par Huntress, visant à documenter une nouvelle itération d’une campagne de phishing/credential harvesting et à fournir des IOCs exploitables aux défenseurs.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1566 — Phishing (Initial Access)
  • T1598 — Phishing for Information (Reconnaissance)
  • T1608.006 — Stage Capabilities: SEO Poisoning (Resource Development)
  • T1056.003 — Input Capture: Web Portal Capture (Collection)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 14 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 95/100 (haute)

  • ✅ huntress.com — source reconnue (liste interne) (20pts)
  • ✅ 14684 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 11 IOCs dont des hashes (15pts)
  • ✅ 5/9 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Storm-2561 (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 158.94.209.19 (ip) → VT (10/92 détections)
  • 74.208.236.39 (ip) → AbuseIPDB (34% confiance, 7 signalements)
  • watchguard-vpn.net (domain) → VT (15/92 détections)
  • watchguard-ssl.online (domain) → VT (10/92 détections)
  • watchguard-vpn.com (domain) → VT (17/92 détections)

🔗 Source originale : https://www.huntress.com/blog/fake-watchguard-vpn-credential-phishing