Уязвимости TrueConf помогли Head Mare развернуть PhantomCore и PhantomGraph
Хакерская группа The Head Mare, ранее известная своими хактивистскими операциями, значительно расширила арсенал и тактику. Согласно отчету, злоумышленники начали эксплуатировать уязвимости в необновлённых серверах TrueConf для доставки двух типов вредоносного ПО — PhantomCore и PhantomGraph. Этот шаг свидетельствует о переходе группировки от простых атак к сложным операциям, характерным для APT (Advanced Persistent Threat), и демонстрирует существенное усиление её возможностей.
Эксплуатация уязвимостей TrueConf
Методология атаки начинается с эксплуатации уязвимостей в серверах видеоконференцсвязи TrueConf. Под прицел попали версии, выпущенные до перечисленных ниже:
- TrueConf Server 5.3.X — до 5.3.9
- TrueConf Server 5.4.X — до 5.4.9
- TrueConf Server 5.5.X — до 5.5.5
Злоумышленники получают несанкционированный доступ через порт TCP 4307, который открыт по умолчанию. Для передачи и выполнения вредоносного скрипта на сервере они используют внутренний идентификатор уязвимости KLCERT-26-057. Изначально скрипт запускается в изолированной среде, ограничивающей доступ к операционной системе. Чтобы выйти из этой среды, эксплуатируется вторая уязвимость — KLCERT-26-058, позволяющая злоумышленникам выполнять произвольный код с привилегиями NT AUTHORITY SYSTEM.
Два бэкдора: PhantomCore и PhantomGraph
После повышения привилегий атакующие заменяют критический файл locale.php на веб-шелл, что обеспечивает постоянный удалённый контроль над скомпрометированным сервером. Эта операция также способствует развертыванию бэкдора PhantomCore.
Кроме того, используя веб-шелл, злоумышленники внедряют ещё один бэкдор — PhantomGraph, состоящий из двух компонентов:
- SysExcSvc.dll — взаимодействует с атакующими;
- SysReadSvc.dll — интерпретирует команды, отправляемые через первый модуль.
Механизмы закрепления и инфраструктура
Для обеспечения постоянного присутствия в системе злоумышленники применяют Base64-кодированные команды PowerShell, которые регистрируют SysExcSvc.dll и SysReadSvc.dll в качестве служб Windows. Такое наложение стратегий значительно усложняет обнаружение вредоносной активности.
Примечательно, что группа The Head Mare использует облачные сервисы хранения данных, в частности Microsoft OneDrive, в качестве инфраструктуры управления.
Реагирование и рекомендации
В ответ на атаку компания TrueConf выпустила обновления для устранения выявленных уязвимостей. Патчи вышли 18 июня 2026 года: уязвимости закрыты в версиях 5.3.9, 5.4.9 и 5.5.5. Варианты вредоносного ПО успешно обнаруживаются решениями Kaspersky, которые запрограммированы распознавать подозрительную активность файлов, процессы, связанные с серверами TrueConf, и изменённые записи реестра, указывающие на угрозы.
Данный инцидент иллюстрирует более широкую тенденцию: фокус The Head Mare на российских организациях в различных секторах. Это подчёркивает необходимость бдительности при обновлении программного обеспечения и проверке на предмет подделок клиентских дистрибутивов для защиты ИТ-инфраструктур.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
