Des attaquants liés au groupe hacktiviste Head Mare ont compromis des serveurs TrueConf de visioconférence non corrigés et les ont utilisés pour distribuer des installateurs clients falsifiés, selon une étude de Kaspersky.
La campagne, observée en juillet 2026, ciblait des serveurs TrueConf utilisés par des organisations en Russie. TrueConf est une plateforme de visioconférence installée sur site, largement déployée par des administrations et des entreprises. Kaspersky a indiqué que les attaquants avaient exploité deux vulnérabilités pour exécuter du code, s’échapper de l’environnement isolé de l’application et exécuter des commandes sur le système d’exploitation hôte avec les privilèges NT AUTHORITY\SYSTEM.
Les failles, suivies en interne par Kaspersky sous les références KLCERT-26-057 et KLCERT-26-058, étaient apparemment accessibles via le port TCP 4307, activé par défaut. Après avoir obtenu l’accès, les attaquants ont remplacé un fichier du serveur TrueConf par un web shell, leur procurant un accès persistant et leur permettant de recueillir des informations sur l’environnement et d’accéder à la base de données du produit.
Ils ont également remplacé l’installateur légitime de TrueConf Client hébergé sur les serveurs compromis par un paquet malveillant non signé contenant la porte dérobée PhantomCore. Les utilisateurs se connectant à un serveur affecté pouvaient alors recevoir l’installateur modifié sous forme de mise à jour. Kaspersky a averti que des employés pouvaient être exposés même si leur propre organisation n’utilisait pas TrueConf, puisqu’ils pouvaient se connecter au serveur compromis d’un partenaire pour participer à une réunion ou télécharger des logiciels.
Activité supplémentaire liée à une porte dérobée
Les attaquants ont déployé un second implant, PhantomGraph, composé de deux fichiers DLL nommés SysExcSvc.dll et SysReadSvc.dll. Le logiciel malveillant utilise un compte Microsoft OneDrive pour recevoir des commandes et renvoyer les résultats.
L’activité observée comprenait la collecte d’informations sur le système à l’aide de commandes telles que hostname et whoami, la création d’un tunnel SSH inversé et l’accès à la mémoire du processus LSASS, une technique susceptible d’exposer les identifiants Windows.
Kaspersky a déclaré avoir identifié des campagnes visant des organisations des secteurs de l’instrumentation, de l’électronique, des transports, de l’énergie, des technologies de l’information et du développement logiciel. L’accès initial a également reposé sur l’hameçonnage, des attaques contre des serveurs web exposés sur Internet et la compromission de prestataires.
TrueConf a corrigé les problèmes signalés dans les versions 5.3.9, 5.4.9 et 5.5.5, publiées le 18 juin. Auparavant, Check Point Research avait signalé une autre vulnérabilité zero-day de TrueConf, CVE-2026-3502, utilisée pour diffuser des mises à jour contenant un cheval de Troie dans le cadre d’une campagne baptisée Operation True Chaos. Les organisations doivent mettre à jour les serveurs pris en charge, vérifier les signatures des installateurs et examiner les systèmes à la recherche de web shells non autorisés ou d’une activité inhabituelle sur OneDrive et SSH.