O threat actor conhecido como Head Mare foi novamente observado explorando falhas de segurança em servidores TrueConf sem patch em ataques contra empresas russas dos setores de instrumentação, eletrônica, transporte, energia, TI e desenvolvimento de software.
A empresa russa de cibersegurança Kaspersky informou que detectou as campanhas em julho de 2026. A atividade envolve a exploração de uma cadeia de vulnerabilidades no servidor de videoconferência TrueConf para substituir os instaladores originais do cliente TrueConf por versões adulteradas, que entregam o backdoor PhantomCore e um trojan de acesso remoto, ou RAT, em sistemas vulneráveis.
As falhas, identificadas como KLCERT-26-057 e KLCERT-26-058, permitem execução arbitrária de código com privilégios elevados. O ataque afeta as versões 5.3.x até 5.3.9, 5.4.x até 5.4.9, 5.5.x até 5.5.5 e anteriores.
O TrueConf é uma ferramenta de videoconferência amplamente usada na Rússia, especialmente nos setores corporativo e governamental, como uma alternativa local a soluções ocidentais como Zoom e Microsoft Teams.
A cadeia de ataque funciona da seguinte forma: os invasores se conectam ao servidor TrueConf na porta TCP 4307, que fica aberta por padrão. Após a conexão bem-sucedida, eles exploram a KLCERT-26-057 para executar um script malicioso no servidor. O script é iniciado em um ambiente isolado no servidor, o que limita seu acesso às funções do sistema operacional. Em seguida, os invasores exploram a KLCERT-26-058 para escapar desse ambiente isolado e executar comandos arbitrários no host subjacente. Depois, eles executam código arbitrário no servidor com privilégios de NT AUTHORITY\SYSTEM. Por fim, substituem o arquivo "...\public\js\locale.php" por uma web shell para manter acesso remoto persistente ao servidor comprometido.
Segundo a Kaspersky, a web shell foi usada para coletar dados da infraestrutura de TI, obter acesso privilegiado ao banco de dados do TrueConf e, por fim, substituir a distribuição original do TrueConf Client por uma versão infectada com o PhantomCore. Quando membros da organização se conectam ao servidor local do TrueConf, recebem como atualização um instalador adulterado, não assinado digitalmente.
“Mesmo que sua organização não use o servidor TrueConf, os funcionários podem se conectar a servidores TrueConf comprometidos de parceiros para participar de reuniões online e baixar pacotes de instalação infectados”, alertou a Kaspersky.
Além disso, a web shell serve como canal para outro backdoor, batizado de PhantomGraph, que compartilha parte do código com o PhantomCore e inclui dois módulos DLL. O primeiro, SysExcSvc.dll, recebe comandos e exfiltra os resultados para o armazenamento em nuvem do Microsoft OneDrive, usado como comando e controle, ou C2. O segundo, SysReadSvc.dll, interpreta os comandos recebidos pelo primeiro módulo, os executa e armazena os resultados.
“Para manter presença persistente no sistema, os invasores executam um comando PowerShell codificado em Base64 que instala SysExcSvc.dll e SysReadSvc.dll como serviços do Windows”, informou a Kaspersky. “Acreditamos que os invasores dividiram esse malware deliberadamente em dois componentes para dificultar a detecção por ferramentas de EDR.”
Entre as ações observadas do invasor por meio do PhantomGraph está o despejo da memória do processo Local Security Authority Subsystem Service, o LSASS, para roubar credenciais. O malware também executa comandos de reconhecimento, como hostname e whoami, e inicia um túnel SSH reverso.
A Kaspersky afirma estar observando várias campanhas ativas do Head Mare contra organizações russas de diferentes setores, incluindo instrumentação, eletrônica, transporte, energia, TI e desenvolvimento de software. Segundo os pesquisadores, o threat actor usa vários métodos de acesso inicial, entre eles phishing, exploração de servidores expostos à internet e acesso por meio de prestadores de serviço.
As vulnerabilidades já foram corrigidas pelo fornecedor nas versões 5.3.9, 5.4.9 e 5.5.5, lançadas em 18 de junho de 2026. Organizações que usam TrueConf são orientadas a instalar as versões mais recentes para obter proteção ideal.
Esta não é a primeira vez que o Head Mare mira falhas zero-day no TrueConf para atingir entidades russas. Em abril deste ano, a Positive Technologies revelou que três vulnerabilidades no software, BDU:2025-10114, BDU:2025-10115 e BDU-2025-10116, vinham sendo exploradas pelo grupo desde setembro de 2025 para distribuir web shells em PHP e payloads maliciosos para roubo de informações e execução de comandos.
Na mesma época, a Check Point também relatou que outra falha de alta gravidade no cliente TrueConf,
CVE-2026-3502
, foi explorada em ambiente real como zero-day em uma campanha contra entidades governamentais no Sudeste Asiático para implantar o framework Havoc C2.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...