เว็บปลอม WatchGuard VPN ขโมยรหัส VPN ในเบราว์เซอร์ แล้วส่งตัวติดตั้งของแท้ที่มีลายเซ็นดิจิทัลให้ โดยแกล้งบอกว่ากรอกผิดในรอบแรกเพื่อเก็บรหัสซ้ำ ผู้ดูแลระบบ MSP ตกเหยื่อจาก Bing

สรุปสั้น

บริษัท Huntress เปิดเผยแคมเปญปลอมตัวเป็นหน้าดาวน์โหลด WatchGuard Mobile VPN with SSL ที่โดเมน watchguard-vpn[.]net ซึ่งต่างจากเว็บปลอมทั่วไปตรงที่ไม่ได้แจกมัลแวร์ เว็บขอให้ผู้ใช้กรอก “Server”, “Login” และ “Password” ก่อนดาวน์โหลด แล้วส่งข้อมูลทั้งสามไปยังเซิร์ฟเวอร์ของผู้โจมตี เมื่อกรอกครบ เว็บจึงสั่งดาวน์โหลดตัวติดตั้งของแท้ที่มีลายเซ็นดิจิทัลของบริษัท WatchGuard Technologies จาก CDN ของ WatchGuard เอง เหยื่อจึงได้ซอฟต์แวร์ของจริงและไม่รู้สึกผิดปกติ ขณะที่ผู้โจมตีได้ทั้งรหัสผ่านและที่อยู่เกตเวย์ VPN ที่จะใช้บุก

เหตุที่ Huntress สอบสวนเกิดขึ้นเมื่อวันที่ 7 ตุลาคม 2569 ผู้ดูแลระบบของผู้ให้บริการไอทีแบบ MSP ค้นใน Bing ว่า “watchguard vpn sll download” (พิมพ์ผิด) แล้วเข้าเว็บปลอมภายใน 8 วินาที รอบแรกเว็บตั้งใจปฏิเสธข้อมูลที่กรอก เพื่อให้กรอกข้อมูลใหม่ ซึ่งอาจได้รหัสที่แก้ให้ถูกหรือรหัสสำรองมาอีกชุด ซึ่งเทคนิคเดียวกันนี้ เคยพบกับเว็บปลอมของ Fortinet และ SonicWall มาแล้ว จึงไม่ได้จำกัดแค่ผู้ใช้ WatchGuard โดย ณ วันที่ 13 ตุลาคม 69 โดเมนนี้ออฟไลน์แล้ว

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 14 ตุลาคม 2569 อ้างอิงการสอบสวนของ Huntress ว่าผู้ดูแลระบบรายหนึ่งของ MSP คลิกผลค้นหาบน Bing ที่ผ่านลิงก์เปลี่ยนเส้นทางปกติของ Bing ไปยังเว็บชื่อ “WatchGuard Firebox VPN Client” ลักษณะนี้ประกอบกับตำแหน่งในผลค้นหา บ่งชี้ว่าเป็นการทำ SEO poisoning ให้เว็บปลอมขึ้นอันดับในผลค้นหาปกติ ไม่ใช่โฆษณาแบบเสียเงิน Huntress ตรวจพบกิจกรรมน่าสงสัยภายใน 21 วินาทีหลังหน้าเว็บโหลด

ในเคสนี้ ประวัติเบราว์เซอร์ไม่พบการดาวน์โหลดจาก CDN ซึ่งต้องเกิดหลังกรอกรอบที่สองเท่านั้น จึงสันนิษฐานว่าผู้ดูแลระบบไม่ได้กรอกครบทั้งสองรอบ แต่ข้อมูลรับรองจากรอบแรกก็อาจรั่วไปแล้ว

โดเมนนี้มีประวัติมาก่อน รายงานวิจัยของ WatchGuard เมื่อเดือนมกราคมเคยระบุ watchguard-vpn[.]net ไว้แล้ว ตอนนั้นยังไม่มีระบบส่งไฟล์ดาวน์โหลดที่ใช้งานได้ ต่อมาโดเมนถูกจดทะเบียนใหม่เมื่อ 22 สิงหาคม และโดเมนรับข้อมูล watchguard-ssl[.]online ถูกจดเมื่อ 14 กันยายน แต่ยังพิสูจน์ไม่ได้ว่าผู้ครอบครองเป็นรายเดียวกันต่อเนื่อง

วิธีการโจมตี

1. หลอกล่อจากผลค้นหา — เว็บปลอมขึ้นในผลค้นหา Bing เมื่อผู้ใช้ค้นหาตัวติดตั้ง VPN และถูกตั้งชื่อหน้าให้ดูเป็นของทางการ

2. ขอข้อมูลก่อนดาวน์โหลด — ปุ่มดาวน์โหลดบนหน้า index.php เปิดหน้าต่างขอ “Server”, “Login” และ “Password” ซึ่งดูสมเหตุสมผลเพราะตรงกับข้อมูลที่ต้องใช้ตั้งค่า VPN จริง แต่ทำให้ผู้โจมตีได้ทั้งข้อมูลรับรองและที่อยู่เกตเวย์ที่จะใช้บุก

3. ส่งข้อมูลออกด้วย JavaScript — โค้ดดักข้อมูลอยู่ในไฟล์ popup.js ยาวราว 150 บรรทัด ไม่มีการอำพรางโค้ด สคริปต์รวมค่าที่กรอกเป็น JSON แล้วส่งด้วย HTTP POST ไปที่ watchguard-ssl[.]online โดยติดป้ายว่า “first” หรือ “second”

4. แกล้งบอกว่ากรอกผิด — รอบแรกเว็บตอบว่า “Incorrect data, please enter again to start installation” แล้วล้างทั้งสามช่องให้กรอกใหม่ Huntress ประเมินว่าน่าจะตั้งใจเก็บรหัสที่แก้ให้ถูกหรือรหัสสำรองอีกชุด แต่เป็นการประเมินเชิงวิเคราะห์

5. ส่งตัวติดตั้งของแท้ให้ — หลังกรอกรอบที่สอง หน้าเว็บขึ้นว่า “VPN client installation has started” แล้วดาวน์โหลด WG-MVPN-SSL_12_11_5.exe จาก cdn.watchguard.com โดยตรง คำสั่งดาวน์โหลดอยู่ใน try/catch ที่แค่บันทึกคำเตือนลง console ถ้าเซิร์ฟเวอร์รับข้อมูลล่ม ผู้ใช้ก็ไม่เห็นอะไรผิดปกติ

Huntress ยืนยันว่าไฟล์คือตัวติดตั้ง Inno Setup ของ Mobile VPN with SSL 12.11.5 ลายเซ็น Authenticode ระบุ WatchGuard Technologies, Inc. ออกโดย Sectigo Public Code Signing CA R36 มี countersignature ลงเวลา 4 พฤศจิกายน 2568 และค่า SHA-256 ที่คำนวณใหม่ตรงกับค่าที่เซ็นไว้ แปลว่าไฟล์ไม่ถูกแก้หลังเซ็น ตัวติดตั้งจึงไม่ใช่ส่วนที่เป็นอันตราย การขโมยข้อมูลเกิดขึ้นก่อนหน้านั้นบนหน้าเว็บ

พบความเชื่อมโยงกับ Storm-2561 — รายงานของ Microsoft เมื่อเดือนมีนาคมโยงแคมเปญ VPN ปลอมที่คล้ายกันกับกลุ่ม Storm-2561 ซึ่งใช้ตัวติดตั้งอันตรายที่เซ็นแล้ว ทำ DLL sideloading แล้วจึงพาไปยังซอฟต์แวร์ของจริง แต่หลักฐานจากเคสเดือนตุลาคมยังไม่พอจะยืนยันว่าเป็นกลุ่มเดียวกัน

ผลกระทบ

กลุ่มที่เสี่ยงที่สุดคือผู้ดูแลระบบและพนักงานที่ต้องติดตั้งไคลเอนต์ VPN เอง โดยเฉพาะผู้ดูแลระบบของ MSP ที่ข้อมูลรับรองชุดเดียวอาจเปิดทางเข้าเครือข่ายของลูกค้าหลายราย ผู้โจมตีได้ทั้งชื่อผู้ใช้ รหัสผ่าน และที่อยู่เกตเวย์ ซึ่งพอจะลองล็อกอิน VPN ได้ทันทีถ้าเกตเวย์ไม่บังคับ MFA และการเข้าถึง VPN ด้วยบัญชีที่ถูกขโมยคือจุดเริ่มต้นของการบุกรุกจำนวนมาก รวมถึงเหตุแรนซัมแวร์

จุดที่ทำให้แคมเปญนี้ตรวจจับยากคือไม่มีไฟล์อันตรายให้ antivirus หรือ EDR จับบนเครื่อง ตัวติดตั้งเป็นของแท้ เซ็นถูกต้อง และดาวน์โหลดจากโดเมนของผู้ผลิตจริง หลักฐานเดียวอยู่ในเบราว์เซอร์และทราฟฟิกที่ส่งข้อมูลออก องค์กรที่ใช้การตรวจลายเซ็นเป็นหลักฐานว่าปลอดภัยจะมองไม่เห็นการโจมตีนี้

คำแนะนำ

• ดาวน์โหลดไคลเอนต์ VPN จากพอร์ทัลของผู้ผลิตหรือจากหน้าเกตเวย์ขององค์กรเท่านั้น และแจกลิงก์ภายในที่ตรวจแล้วให้พนักงาน แทนการให้ค้นหาเอง
• สื่อสารให้ผู้ใช้รู้ว่าหน้าดาวน์โหลดซอฟต์แวร์ของจริงไม่มีเหตุให้ขอรหัสผ่าน VPN ก่อนดาวน์โหลด
• บังคับ MFA บนเกตเวย์ VPN ทุกตัว ทั้ง WatchGuard, Fortinet และ SonicWall เพื่อให้รหัสผ่านที่รั่วอย่างเดียวใช้เข้าระบบไม่ได้
• เปิดการป้องกันระดับเบราว์เซอร์และเครือข่าย (web filtering, DNS filtering) เพื่อบล็อกโดเมนที่เพิ่งจดทะเบียนและโดเมนเลียนแบบชื่อผู้ผลิต
• ถ้าพบว่ามีผู้ใช้เข้าเว็บปลอม ให้เปลี่ยนรหัส VPN ทันทีแม้ผู้ใช้จะบอกว่ากรอกไม่ครบ และตรวจล็อก VPN ย้อนหลังหาการล็อกอินจาก IP ผิดปกติ
• บล็อกและค้นหา IoC ด้านล่างในล็อก DNS/proxy

Indicators of Compromise (IoCs)

หมายเหตุ: โดเมนและ IP ถูก defang แล้ว ([.]) เพื่อป้องกันการคลิกหรือ resolve โดยไม่ตั้งใจ

แหล่งอ้างอิง

• Fake WatchGuard VPN Site Steals Credentials Then Delivers Legitimate Signed Installer — GBHackers
• Fake WatchGuard VPN Credential Phishing — Huntress