2026-08-08 00:00
← VoltarO grupo hacktivista Head Mare tem explorado vulnerabilidades em servidores de videoconferência TrueConf não corrigidos para substituir instaladores de clientes por versões maliciosas que fornecem backdoors. As vulnerabilidades exploradas permitiram ao invasor executar código arbitrário com o mais alto nível de privilégios e implantar backdoors PhantomCore e PhantomGraph. TrueConf é uma ferramenta de videoconferência amplamente utilizada na Rússia, especialmente nos setores empresarial e governamental, como uma alternativa segura e local às ferramentas ocidentais, como Zoom e Microsoft Teams. Pesquisadores da empresa de segurança cibernética Kaspersky descobriram o ataque em julho. Eles descobriram que os hackers do Head Mare usaram a porta TCP 4307, que é aberta por padrão, para se conectar ao servidor TrueConf de destino sem autenticação. Eles aproveitaram uma vulnerabilidade rastreada internamente pela Kaspersky como KLCERT-26-057 para executar um script malicioso no ambiente isolado do TrueConf e KLCERT-26-058 para escapar da sandbox e executar comandos no sistema operacional subjacente. O invasor então aumentou seus privilégios para NT AUTHORITY\SYSTEM e substituiu o arquivo ‘\public\js\locale.php’ por um web shell que lhes deu acesso remoto persistente ao servidor comprometido. A Kaspersky relata que o Head Mare usa um web shell para coletar informações confidenciais do ambiente da vítima, acessar o banco de dados TrueConf e substituir o instalador legítimo do TrueConf...
O grupo hacktivista Head Mare tem explorado vulnerabilidades em servidores de videoconferência TrueConf não corrigidos para substituir instaladores de clientes por versões maliciosas que fornecem backdoors. As vulnerabilidades exploradas permitiram ao invasor executar código arbitrário com o mais alto nível de privilégios e implantar backdoors PhantomCore e PhantomGraph. TrueConf é uma ferramenta de videoconferência amplamente utilizada na Rússia, especialmente nos setores empresarial e governamental, como uma alternativa segura e local às ferramentas ocidentais, como Zoom e Microsoft Teams. Pesquisadores da empresa de segurança cibernética Kaspersky descobriram o ataque em julho. Eles descobriram que os hackers do Head Mare usaram a porta TCP 4307, que é aberta por padrão, para se conectar ao servidor TrueConf de destino sem autenticação. Eles aproveitaram uma vulnerabilidade rastreada internamente pela Kaspersky como KLCERT-26-057 para executar um script malicioso no ambiente isolado do TrueConf e KLCERT-26-058 para escapar da sandbox e executar comandos no sistema operacional subjacente. O invasor então aumentou seus privilégios para NT AUTHORITY\SYSTEM e substituiu o arquivo ‘\public\js\locale.php’ por um web shell que lhes deu acesso remoto persistente ao servidor comprometido. A Kaspersky relata que o Head Mare usa um web shell para coletar informações confidenciais do ambiente da vítima, acessar o banco de dados TrueConf e substituir o instalador legítimo do TrueConf Client hospedado no servidor por uma versão maliciosa que contém o backdoor PhantomCore.
Quando os membros da organização se conectam ao servidor TrueConf local, eles recebem um instalador de cliente trojanizado e não assinado digitalmente como uma atualização. “Mesmo que sua organização não use o servidor TrueConf, os funcionários da organização podem se conectar a servidores TrueConf de contrapartes comprometidos para participar de reuniões online e baixar pacotes de instalação infectados”, alerta Kaspersky. Além disso, o Head Mare implanta o PhantomGraph, um backdoor separado que consiste em dois arquivos DLL (SysExcSvc.dll e SysReadSvc.dll) que aceitam comandos por meio de uma conta do Microsoft OneDrive, os executam e retornam os resultados. A atividade observada do invasor por meio do PhantomGraph incluiu o despejo da memória do processo Local Security Authority Subsystem Service (LSASS) para exfiltrar credenciais. O malware também executa comandos para atividades de reconhecimento, como hostname e whoami, e inicia um túnel SSH reverso. A Kaspersky diz que está atualmente observando várias campanhas ativas do Head Mare direcionadas a organizações russas em vários setores: instrumentação, eletrônica, transporte, energia, TI e desenvolvimento de software. De acordo com os pesquisadores, o autor da ameaça está usando vários métodos de acesso inicial que incluem phishing, exploração de servidores web públicos e acesso por meio de prestadores de serviços. Vulnerabilidades TrueConf As duas falhas que a Kaspersky viu aproveitadas em ataques afetam TrueConf Server 5.3.x antes de 5.3.9, 5.4.x antes de 5.4.9, 5.5.x antes de 5.5.5 e versões anteriores.
O fornecedor os corrigiu nas versões 5.3.9, 5.4.9 e 5.5.5, lançadas em 18 de junho. Em abril de 2026, a CheckPoint Research relatou que os hackers tinham como alvo uma falha de execução arbitrária de arquivos de dia zero no TrueConf, rastreada como CVE-2026-3502, comprometendo os usuários por meio de atualizações de clientes trojanizados. A CheckPoint chamou a campanha de “Operação True Chaos” e atribuiu-a provisoriamente aos atores de ameaças chineses por trás do implante Havoc, que foi usado nesses ataques.