Mit der hacktivistischen Gruppe Head Mare in Verbindung stehende Angreifer haben ungepatchte TrueConf-Videokonferenzserver kompromittiert und dazu verwendet, manipulierte Client-Installer zu verbreiten, wie aus Untersuchungen von Kaspersky hervorgeht.
Die im Juli 2026 beobachtete Kampagne richtete sich gegen TrueConf-Server, die von Organisationen in Russland eingesetzt werden. TrueConf ist eine On-Premises-Konferenzplattform, die bei Behörden und Unternehmen weit verbreitet ist. Kaspersky zufolge nutzten die Angreifer zwei Schwachstellen aus, um Code auszuführen, die isolierte Umgebung der Anwendung zu verlassen und Befehle auf dem Host-Betriebssystem mit NT-AUTHORITY\SYSTEM-Berechtigungen auszuführen.
Die von Kaspersky intern als KLCERT-26-057 und KLCERT-26-058 bezeichneten Schwachstellen waren Berichten zufolge über den standardmäßig aktivierten TCP-Port 4307 erreichbar. Nach dem Zugriff ersetzten die Angreifer eine TrueConf-Serverdatei durch eine Web-Shell, die dauerhaften Zugriff ermöglichte und es ihnen erlaubte, Informationen aus der Umgebung zu sammeln und auf die Produktdatenbank zuzugreifen.
Außerdem ersetzten sie den auf kompromittierten Servern gehosteten legitimen TrueConf-Client-Installer durch ein bösartiges, unsigniertes Paket mit der PhantomCore-Backdoor. Benutzer, die eine Verbindung zu einem betroffenen Server herstellten, konnten daraufhin den manipulierten Installer als Update erhalten. Kaspersky warnte, dass Mitarbeiter auch dann gefährdet sein können, wenn ihre eigene Organisation TrueConf nicht betreibt, da sie sich mit dem Server eines kompromittierten Partners verbinden könnten, um an einer Besprechung teilzunehmen oder Software herunterzuladen.
Weitere Backdoor-Aktivitäten
Die Angreifer setzten ein zweites Implantat namens PhantomGraph ein, das aus zwei DLL-Dateien mit den Namen SysExcSvc.dll und SysReadSvc.dll besteht. Die Malware nutzt ein Microsoft-OneDrive-Konto, um Befehle zu empfangen und Ergebnisse zurückzusenden.
Zu den beobachteten Aktivitäten gehörten die Systemaufklärung mithilfe von Befehlen wie hostname und whoami, der Aufbau eines Reverse-SSH-Tunnels sowie der Speicherzugriff auf den LSASS-Prozess – eine Technik, durch die Windows-Anmeldedaten offengelegt werden können.
Kaspersky teilte mit, Kampagnen gegen Organisationen aus den Bereichen Messtechnik, Elektronik, Transport, Energie, Informationstechnologie und Softwareentwicklung identifiziert zu haben. Der erste Zugriff erfolgte auch über Phishing, Angriffe auf öffentlich zugängliche Webserver und kompromittierte Auftragnehmer.
TrueConf behob die gemeldeten Probleme in den am 18. Juni veröffentlichten Versionen 5.3.9, 5.4.9 und 5.5.5. Zuvor hatte Check Point Research über eine separate TrueConf-Zero-Day-Schwachstelle, CVE-2026-3502, berichtet, die in einer von dem Unternehmen als Operation True Chaos bezeichneten Kampagne zur Verbreitung trojanisierter Updates genutzt wurde. Organisationen sollten unterstützte Server aktualisieren, die Signaturen der Installer überprüfen und Systeme auf nicht autorisierte Web-Shells oder ungewöhnliche OneDrive- und SSH-Aktivitäten untersuchen.