Sahte WatchGuard VPN Sitesi Kimlik Bilgilerini Hedef Aldı: Orijinal Yazılımı Kullanan Saldırı Nasıl İşliyor?
Sahte VPN sitesi üzerinden kurumsal kullanıcıların kimlik bilgilerini çalmayı amaçlayan yeni bir siber saldırı tespit edildi. WatchGuard’ın resmi indirme sayfasını taklit eden saldırganlar, kullanıcıların VPN sunucu adresini, kullanıcı adını ve şifresini ele geçirmeye çalışıyor. Huntress tarafından yürütülen incelemelerde, saldırının dikkat çekici yönü ortaya çıktı: Kullanıcıların şüphelenmesini önlemek için işlem sonunda gerçekten WatchGuard tarafından yayımlanan orijinal VPN kurulum dosyası indiriliyor.
Siber güvenlik araştırmacılarının tespitine göre saldırganlar, watchguard-vpn[.]net adresini sahte bir indirme sayfası olarak kullanıyor. Girilen kimlik bilgileri ise saldırganların kontrolündeki watchguard-ssl[.]online alan adına aktarılıyor. Bu yöntem, kullanıcıların zararlı veya değiştirilmiş bir yazılım indirmesinden ziyade, gerçek bir yazılımın kurulum sürecine benzeyen bir işlem sırasında bilgilerini kendi elleriyle paylaşmasına dayanıyor.
Saldırının ortaya çıkması, özellikle kurumsal ağlara VPN üzerinden bağlanan çalışanların yazılım indirirken kullandıkları adresleri kontrol etmesinin önemini bir kez daha gündeme getirdi.
Sahte VPN Sitesi Kullanıcıların Hangi Bilgilerini Çalıyor?
Huntress araştırmacılarının incelediği sahte WatchGuard VPN sitesi, kullanıcıları resmi bir yazılım indirme sayfasında olduklarına inandırmayı amaçlıyor. Sayfada VPN bağlantısını yapılandırmak için kullanılan bilgilerin girilmesini isteyen bir form bulunuyor.
Bu form üzerinden kullanıcıların üç temel bilgisi hedef alınıyor: VPN sunucu adresi, kullanıcı adı ve şifre. Bu veriler, kullanıcının kurumsal ağa bağlanırken kullandığı erişim bilgilerinin saldırganların eline geçmesine neden olabilecek nitelik taşıyor.
Bu nedenle tehlike yalnızca sahte bir VPN kurulum dosyasından kaynaklanmıyor. Asıl risk, kullanıcıların güvenilir olduğunu düşündükleri bir indirme sürecinde hassas bağlantı bilgilerini sahte bir siteye teslim etmeleri.
Sahte Site İlk Girişte Şifreyi Reddediyor
Saldırıyı daha inandırıcı hale getiren ayrıntılardan biri, sahte sitenin ilk veri girişinin ardından bilgileri kabul etmemesi. Kullanıcıdan aynı bilgileri yeniden girmesini isteyen sistem, bu yolla birden fazla şifre denemesini ele geçirme fırsatı buluyor.
Bu davranış, kullanıcının bir yazım hatası yaptığını veya VPN bağlantısında bir sorun yaşandığını düşünmesine yol açabilecek bir senaryo oluşturuyor. Kullanıcı bilgilerini tekrar girdiğinde, saldırganların yeni kimlik bilgilerine erişmesi mümkün hale geliyor.
Araştırmacıların aktardığına göre sistem, ikinci veri girişinden sonra kullanıcıyı sahte bir kurulum dosyasına yönlendirmek yerine WatchGuard’ın resmi içerik dağıtım ağından gerçek yazılımı indiriyor.
Böylece kullanıcı, beklediği VPN yazılımına ulaştığını düşünerek şüpheli sayfayla etkileşimini tamamlayabiliyor. Saldırının ayırt edici yönü, güven kazanmak için yazılımın kendisini değiştirmek yerine indirme sürecinin taklit edilmesi.
WatchGuard’ın Orijinal VPN Yazılımı Kullanılıyor
Huntress tarafından yapılan incelemede indirilen dosyanın, WatchGuard Technologies tarafından dijital olarak imzalanmış Mobile VPN with SSL istemcisinin 12.11.5 sürümü olduğu belirlendi.
Araştırmacılar, kurulum dosyasının orijinal olduğunu ve saldırganların yazılım üzerinde herhangi bir değişiklik yapmadığını doğruladı.
Bu ayrıntı, saldırının geleneksel zararlı yazılım dağıtım yöntemlerinden farklılaştığını gösteriyor. Kullanıcıya değiştirilmiş bir uygulama yükletilmesi yerine, gerçek yazılımın indirildiği bir süreçte kurumsal erişim bilgileri hedef alınıyor.
Dolayısıyla bir kurulum dosyasının orijinal olması, o dosyaya ulaşmak için kullanılan internet sitesinin de güvenilir olduğunu tek başına kanıtlamıyor. Kullanıcı gerçek yazılımı indirmiş olsa bile, öncesinde bilgilerini sahte bir sayfaya girmiş olabilir.
Kurumsal kullanıcılar açısından temel risk de burada ortaya çıkıyor: Yazılımın güvenilirliği ile indirme işlemini başlatan internet sitesinin güvenilirliği birbirinden ayrı değerlendirilmesi gereken iki konu.
Sahte VPN Alan Adları Ne Zaman Kaydedildi?
Huntress araştırmacıları, saldırıda kullanılan alan adlarının kayıt tarihlerini de inceledi. Bulgulara göre sahte indirme sayfasının bulunduğu watchguard-vpn[.]net adresi 22 Ağustos 2026 tarihinde kaydedildi.
Kimlik bilgilerini toplamak için kullanılan watchguard-ssl[.]online alan adının ise 14 Eylül tarihinde ortaya çıktığı tespit edildi.
Bu iki adres, saldırının farklı aşamalarında kullanılan altyapıyı ortaya koyuyor. İlk alan adı, kullanıcıları sahte indirme sayfasına yönlendirmek için kullanılırken ikinci alan adı, forma girilen bilgilerin aktarılacağı adres olarak görev yapıyor.
Alan adlarının WatchGuard markasını çağrıştıran ifadeler içermesi, kullanıcıların adresi hızlıca kontrol ettiklerinde sahte bir sayfayla karşı karşıya olduklarını fark etmelerini zorlaştırabilir.
Bu nedenle yalnızca internet sitesinin adında marka isminin bulunmasına veya sayfanın kurumsal bir tasarıma sahip görünmesine güvenmek yeterli değil. Özellikle VPN gibi kurumsal erişim sağlayan yazılımlarda indirme adresinin doğruluğu ayrıca kontrol edilmeli.
Huntress Sahte VPN Sitesinin Çevrimdışı Olduğunu Bildirdi
Huntress, ana aldatıcı alan adının 13 Ekim itibarıyla çevrimdışı olduğunu bildirdi. Bu gelişme, tespit edilen sahte indirme sayfasının söz konusu tarihte erişilemez hale geldiğini gösteriyor.
Ancak bir alan adının çevrimdışı olması, daha önce bu siteyle etkileşime giren kullanıcıların bilgilerinin güvende olduğu anlamına gelmiyor. Daha önce forma kullanıcı adı ve şifre girmiş kişilerin, bu bilgilerin kötüye kullanılıp kullanılmadığını ayrıca değerlendirmesi gerekiyor.
Ayrıca verilen bilgi, saldırıyla bağlantılı diğer alan adının da aynı tarihte çevrimdışı olduğunu doğrulamıyor. Bu nedenle iki adresin durumunu birbirinden ayrı değerlendirmek gerekiyor.
Sahte sitenin kapatılması veya erişilemez hale gelmesi, olası bir kimlik bilgisi ihlalinin sonuçlarını kendiliğinden ortadan kaldırmıyor. Özellikle kurumsal ağ erişimi sağlayan hesaplar için olayın etkilerinin incelenmesi önem taşıyor.
Sahte VPN Saldırısına Karşı Hangi Önlemler Alınmalı?
Huntress’in bulguları doğrultusunda kuruluşların, çalışanların sahte sayfalara bilgi girmiş olabileceği ihtimalini dikkate alarak güvenlik önlemlerini gözden geçirmesi gerekiyor.
Uzmanların önerileri arasında şifrelerin sıfırlanması ve çok faktörlü kimlik doğrulamanın etkinleştirilmesi bulunuyor. Bunun yanında VPN oturumlarının ve giriş kayıtlarının kontrol edilmesi, şüpheli bağlantı girişimlerinin belirlenmesine yardımcı olabilir.
Kuruluşların değerlendirmesi gereken başlıca önlemler şöyle:
Şifreleri sıfırlayın: Sahte sayfaya VPN kullanıcı adı ve şifresi girilmiş olabileceğinden, etkilenen hesapların kimlik bilgileri yenilenmeli.
Çok faktörlü kimlik doğrulamayı etkinleştirin: Ek doğrulama katmanı, yalnızca şifrenin ele geçirilmesine dayanan erişim girişimlerine karşı korumayı güçlendirebilir.
VPN giriş kayıtlarını inceleyin: Şüpheli oturumlar ve olağan dışı bağlantı girişimleri araştırılmalı.
İndirme adreslerini doğrulayın: Çalışanlar, VPN yazılımlarını yalnızca kurumun onayladığı veya üreticinin doğrulanmış resmi indirme sayfalarından edinmeli.
Çalışanları bilgilendirin: Sahte alan adları, kimlik avı formları ve gerçek yazılımın sahte bir indirme sürecinde kullanılabileceği konusunda farkındalık oluşturulmalı.
Özellikle VPN erişimi üzerinden kurumsal kaynaklara ulaşan çalışanların kullandığı hesaplar, olası bir kimlik bilgisi ihlalinin etkileri bakımından önem taşıyor. Bu nedenle yalnızca bilgisayarda zararlı yazılım bulunup bulunmadığına bakmak, böyle bir olayın değerlendirilmesi için yeterli olmayabilir.
Sahte VPN Sitesi Olayı Kullanıcılar İçin Ne Anlama Geliyor?
WatchGuard VPN adı kullanılarak gerçekleştirilen bu saldırı, siber güvenlik tehditlerinin her zaman değiştirilmiş dosyalar veya açıkça zararlı görünen uygulamalar üzerinden ilerlemediğini gösteriyor.
Saldırganlar, gerçek yazılımı kullanarak kullanıcıların güvenini kazanmayı hedefliyor. Böyle bir durumda bilgisayara indirilen dosyanın orijinal olması, kullanıcının daha önce karşılaştığı web sayfasının güvenilir olduğu anlamına gelmiyor.
Huntress’in tespit ettiği yöntemde asıl hedef, VPN bağlantısı için kullanılan kurumsal kimlik bilgileri. Sahte sayfaya bu bilgileri giren kullanıcılar açısından önemli olan, yalnızca indirme işlemini tamamlamış olmak değil, bilgilerin hangi siteyle paylaşıldığını da değerlendirmek.
Saldırının ana alan adının 13 Ekim itibarıyla çevrimdışı olduğu bildirilse de olası bir ihlalin etkileri ayrıca incelenmeli. Kuruluşların şifreleri yenilemesi, çok faktörlü kimlik doğrulamayı kullanması ve VPN bağlantılarını kontrol etmesi, bu tür kimlik avı girişimlerine karşı alınabilecek temel önlemler arasında yer alıyor.
