Hackers sfruttano vulnerabilità TrueConf per installare backdoor nei client

Il gruppo di hacktivisti Head Mare ha sfruttato vulnerabilità non patchate nei server di TrueConf per sostituire i file di installazione client con versioni maliziose che contengono backdoor. L’attacco, scoperto da Kaspersky a luglio 2026, ha permesso agli aggressori di accedere a dati sensibili, esfiltrare credenziali e installare malware come PhantomCore e PhantomGraph. Le vulnerabilità sfruttate riguardano versioni precedenti a 5.3.9, 5.4.9 e 5.5.5 del server TrueConf, che sono state corrette con aggiornamenti rilasciati il 18 giugno 2026. L’attacco ha colpito organizzazioni russe in settori come energia, IT e software, con un rischio anche per aziende non utilizzatrici del server, poiché i dipendenti potrebbero connettersi a server compromessi per partecipare a meeting online e scaricare pacchetti di installazione infetti.

Attacco sfrutta vulnerabilità non patchate

Kaspersky ha rivelato che Head Mare ha sfruttato vulnerabilità non corrette nei server TrueConf per eseguire script malevoli e ottenere accesso remoto persistente. L’attacco ha utilizzato il porto TCP 4307, aperto di default, per connettersi al server senza autenticazione. Gli aggressori hanno sfruttato due vulnerabilità interne, KLCERT-26-057 e KLCERT-26-058, per eseguire codice arbitrario e fuggire dal sandbox, ottenendo privilegi elevati. Hanno sostituito un file del server con un web shell, permettendo l’accesso continuo e la sostituzione del file di installazione client con una versione malevola che include il backdoor PhantomCore.

Backdoor PhantomGraph e attività di esplorazione

Il gruppo ha anche utilizzato PhantomGraph, un backdoor composto da due DLL che accettano comandi tramite un account Microsoft OneDrive. L’attività osservata include l’estrazione delle credenziali dal processo LSASS e l’esecuzione di comandi per attività di reconnaissance, come hostname e whoami. Inoltre, è stato avviato un tunnel SSH inverso, permettendo agli aggressori di mantenere il controllo sul sistema. Kaspersky ha segnalato che Head Mare sta attivamente lanciando campagne in diversi settori, tra cui energia, trasporti e software, con metodi di accesso iniziale come phishing e sfruttamento di server web pubblici.

Le vulnerabilità sfruttate riguardano le versioni 5.3.x prima di 5.3.9, 5.4.x prima di 5.4.9 e 5.5.x prima di 5.5.5 del server TrueConf. Il produttore ha rilasciato patch per queste versioni il 18 giugno 2026. Kaspersky ha anche collegato l’attacco a una campagna denominata “Operation True Chaos”, attribuendo temporaneamente il gruppo all’attacco Havoc, associato a attori cinesi. La situazione evidenzia la necessità di aggiornamenti regolari e di controlli di sicurezza per prevenire simili exploit.

Il whitepaper di Picus mostra come i test di simulazione di attacco possano rivelare vulnerabilità non rilevate dai sistemi di rilevamento. La percentuale di attacchi rilevati prima che siano dannosi rimane bassa, con solo il 14% degli attacchi segnalati, mentre il 54% riesce a bypassare le difese. Questi dati sottolineano l’importanza di un approccio proattivo alla sicurezza informatica, combinando tecnologie di rilevamento con simulazioni di attacco per migliorare la difesa. Le vulnerabilità sfruttate sono state corrette con aggiornamenti rilasciati il 18 giugno 2026. Kaspersky ha segnalato che il gruppo Head Mare sta attivamente lanciando campagne in diversi settori, tra cui energia, trasporti e software. La situazione evidenzia la necessità di aggiornamenti regolari e di controlli di sicurezza.