Atacantes vinculados al grupo hacktivista Head Mare comprometieron servidores TrueConf de videoconferencia sin actualizar y los utilizaron para distribuir instaladores de clientes manipulados, según una investigación de Kaspersky.
La campaña, observada en julio de 2026, tuvo como objetivo servidores TrueConf utilizados por organizaciones en Rusia. TrueConf es una plataforma de conferencias local implementada ampliamente por clientes gubernamentales y empresariales. Kaspersky afirmó que los atacantes explotaron dos vulnerabilidades para ejecutar código, escapar del entorno aislado de la aplicación y ejecutar comandos en el sistema operativo anfitrión con privilegios de NT AUTHORITY\SYSTEM.
Las vulnerabilidades, identificadas internamente por Kaspersky como KLCERT-26-057 y KLCERT-26-058, eran presuntamente accesibles a través del puerto TCP 4307, habilitado de forma predeterminada. Tras obtener acceso, los atacantes reemplazaron un archivo del servidor TrueConf por una web shell, lo que les proporcionó acceso persistente y les permitió recopilar información del entorno y acceder a la base de datos del producto.
También reemplazaron el instalador legítimo de TrueConf Client alojado en los servidores comprometidos por un paquete malicioso sin firma que contenía la puerta trasera PhantomCore. De este modo, los usuarios que se conectaran a un servidor afectado podían recibir el instalador alterado como actualización. Kaspersky advirtió que los empleados podrían quedar expuestos incluso cuando su propia organización no utilice TrueConf, ya que podrían conectarse al servidor comprometido de un socio para participar en una reunión o descargar software.
Actividad adicional de la puerta trasera
Los atacantes desplegaron un segundo implante, PhantomGraph, compuesto por dos archivos DLL llamados SysExcSvc.dll y SysReadSvc.dll. El malware utiliza una cuenta de Microsoft OneDrive para recibir comandos y enviar los resultados.
Entre las actividades observadas se incluyeron el reconocimiento del sistema mediante comandos como hostname y whoami, la creación de un túnel SSH inverso y el acceso a la memoria dirigido al proceso LSASS, una técnica que puede exponer credenciales de Windows.
Kaspersky afirmó haber identificado campañas contra organizaciones de los sectores de instrumentación, electrónica, transporte, energía, tecnologías de la información y desarrollo de software. El acceso inicial también ha involucrado campañas de phishing, ataques contra servidores web expuestos públicamente y contratistas comprometidos.
TrueConf solucionó los problemas reportados en las versiones 5.3.9, 5.4.9 y 5.5.5, publicadas el 18 de junio. Anteriormente, Check Point Research informó sobre otro día cero de TrueConf, CVE-2026-3502, utilizado para distribuir actualizaciones troyanizadas en una campaña que denominó Operation True Chaos. Las organizaciones deberían actualizar los servidores compatibles, verificar las firmas de los instaladores e inspeccionar los sistemas en busca de web shells no autorizadas o actividad inusual de OneDrive y SSH.