Gli aggressori collegati al gruppo hacktivista Head Mare hanno compromesso server TrueConf per videoconferenze privi di patch e li hanno utilizzati per distribuire installer client manomessi, secondo una ricerca di Kaspersky.
La campagna, osservata nel luglio 2026, ha preso di mira server TrueConf utilizzati da organizzazioni in Russia. TrueConf è una piattaforma di videoconferenza on-premise ampiamente utilizzata da enti governativi e aziende. Kaspersky ha affermato che gli aggressori hanno sfruttato due vulnerabilità per ottenere l’esecuzione di codice, evadere dall’ambiente isolato dell’applicazione ed eseguire comandi sul sistema operativo host con i privilegi di NT AUTHORITY\SYSTEM.
Le falle, tracciate internamente da Kaspersky come KLCERT-26-057 e KLCERT-26-058, sarebbero state raggiungibili tramite la porta TCP 4307, abilitata per impostazione predefinita. Dopo aver ottenuto l’accesso, gli aggressori hanno sostituito un file del server TrueConf con una web shell, ottenendo un accesso persistente e la possibilità di raccogliere informazioni dall’ambiente e accedere al database del prodotto.
Hanno inoltre sostituito l’installer legittimo di TrueConf Client ospitato sui server compromessi con un pacchetto malevolo non firmato contenente la backdoor PhantomCore. Gli utenti che si connettevano a un server interessato potevano quindi ricevere l’installer alterato come aggiornamento. Kaspersky ha avvertito che i dipendenti possono essere esposti anche quando la loro organizzazione non utilizza TrueConf, poiché potrebbero connettersi al server compromesso di un partner per partecipare a una riunione o scaricare software.
Ulteriori attività della backdoor
Gli aggressori hanno distribuito un secondo impianto, PhantomGraph, composto da due file DLL denominati SysExcSvc.dll e SysReadSvc.dll. Il malware utilizza un account Microsoft OneDrive per ricevere comandi e inviare i risultati.
Tra le attività osservate figurano la ricognizione del sistema tramite comandi come hostname e whoami, la creazione di un tunnel SSH inverso e l’accesso alla memoria del processo LSASS, una tecnica che può esporre le credenziali Windows.
Kaspersky ha dichiarato di aver identificato campagne contro organizzazioni attive nei settori della strumentazione, dell’elettronica, dei trasporti, dell’energia, dell’informatica e dello sviluppo software. L’accesso iniziale ha incluso anche campagne di phishing, attacchi contro server web esposti pubblicamente e il coinvolgimento di appaltatori compromessi.
TrueConf ha risolto i problemi segnalati nelle versioni 5.3.9, 5.4.9 e 5.5.5, rilasciate il 18 giugno. In precedenza, Check Point Research aveva segnalato una zero-day distinta di TrueConf, CVE-2026-3502, utilizzata per distribuire aggiornamenti trojanizzati in una campagna denominata Operation True Chaos. Le organizzazioni dovrebbero aggiornare i server supportati, verificare le firme degli installer e controllare i sistemi alla ricerca di web shell non autorizzate o di attività insolite su OneDrive e SSH.