Atakujący powiązani z haktywistyczną grupą Head Mare przejęli niezałatane serwery wideokonferencyjne TrueConf i wykorzystywali je do dystrybucji zmodyfikowanych instalatorów klientów, wynika z badań firmy Kaspersky.
Kampania zaobserwowana w lipcu 2026 r. była wymierzona w serwery TrueConf używane przez organizacje w Rosji. TrueConf to lokalnie wdrażana platforma konferencyjna, szeroko stosowana przez klientów rządowych i korporacyjnych. Kaspersky poinformował, że atakujący wykorzystali dwie podatności, aby uzyskać możliwość wykonania kodu, opuścić odizolowane środowisko aplikacji i uruchamiać polecenia w systemie operacyjnym hosta z uprawnieniami NT AUTHORITY\SYSTEM.
Podatności, śledzone wewnętrznie przez Kaspersky jako KLCERT-26-057 i KLCERT-26-058, były podobno dostępne za pośrednictwem portu TCP 4307, który jest domyślnie włączony. Po uzyskaniu dostępu atakujący zastąpili plik serwera TrueConf powłoką internetową, zapewniając sobie trwały dostęp oraz możliwość zbierania informacji ze środowiska i dostępu do bazy danych produktu.
Zastąpili również legalny instalator TrueConf Client hostowany na przejętych serwerach złośliwym, niepodpisanym pakietem zawierającym tylną furtkę PhantomCore. Użytkownicy łączący się z zaatakowanym serwerem mogli następnie otrzymać zmodyfikowany instalator jako aktualizację. Kaspersky ostrzegł, że pracownicy mogą być narażeni nawet wtedy, gdy ich własna organizacja nie korzysta z TrueConf, ponieważ mogą połączyć się z przejętym serwerem partnera, aby dołączyć do spotkania lub pobrać oprogramowanie.
Dodatkowa aktywność tylnej furtki
Atakujący wdrożyli drugi implant, PhantomGraph, składający się z dwóch plików DLL o nazwach SysExcSvc.dll i SysReadSvc.dll. Złośliwe oprogramowanie wykorzystuje konto Microsoft OneDrive do odbierania poleceń i odsyłania wyników.
Zaobserwowana aktywność obejmowała rozpoznanie systemu za pomocą poleceń takich jak hostname i whoami, utworzenie odwrotnego tunelu SSH oraz dostęp do pamięci ukierunkowany na proces LSASS — technikę, która może ujawnić poświadczenia systemu Windows.
Kaspersky poinformował, że zidentyfikował kampanie wymierzone w organizacje z sektorów aparatury pomiarowej, elektroniki, transportu, energetyki, technologii informacyjnych i tworzenia oprogramowania. Początkowy dostęp uzyskiwano także za pośrednictwem phishingu, ataków na publicznie dostępne serwery internetowe oraz przejętych wykonawców.
TrueConf usunął zgłoszone problemy w wersjach 5.3.9, 5.4.9 i 5.5.5, wydanych 18 czerwca. Wcześniej Check Point Research poinformował o odrębnej podatności zero-day w TrueConf, CVE-2026-3502, wykorzystywanej do dostarczania strojanizowanych aktualizacji w kampanii nazwanej Operation True Chaos. Organizacje powinny zaktualizować obsługiwane serwery, zweryfikować podpisy instalatorów oraz sprawdzić systemy pod kątem nieautoryzowanych powłok internetowych lub nietypowej aktywności OneDrive i SSH.