Visão geral do ataque e evolução do grupo
Em julho de 2026, especialistas da Kaspersky detectaram um novo ataque pelo grupo Head Mare. Anteriormente classificados como hacktivistas, agora são definidos como um grupo APT devido à sofisticação de suas TTPs (Táticas, Técnicas e Procedimentos) e à ausência de atividade destrutiva nas infraestruturas visadas. Nesta campanha mais recente, os atacantes exploraram uma cadeia de vulnerabilidades no servidor de videoconferência TrueConf e substituíram os instaladores originais do cliente TrueConf por versões infectadas que instalaram o malware PhantomCore no sistema.
A investigação do servidor comprometido revelou que os atacantes usaram uma combinação de duas novas vulnerabilidades (identificadas internamente como KLCERT-26-057 e KLCERT-26-058), permitindo a execução de código arbitrário com as maiores privilégios.
Estágios da exploração
O ataque ocorre em vários estágios. Primeiro, os atacantes se conectam ao servidor TrueConf sem autorização prévia pela porta 4307/TCP, que, segundo a documentação do produto, está aberta por padrão. O ataque afeta servidores TrueConf executando versões 5.3.X até 5.3.9, 5.4.X até 5.4.9 e 5.5.X até 5.5.5.
Uma vez conectados, os atacantes chamam uma função do servidor para transmitir um script malicioso e executá-lo no servidor. O script é executado em um ambiente isolado, mas os atacantes exploram uma segunda vulnerabilidade para escapar das restrições e executar comandos no contexto do sistema operacional, ganhando privilégios de NT AUTHORITY\SYSTEM.
Com privilégios elevados, os atacantes substituem o arquivo …\public\js\locale.php por uma web shell, usada para coletar dados da infraestrutura de TI, ganhar acesso privilegiado ao banco de dados TrueConf e substituir a distribuição original do cliente TrueConf por uma versão infectada contendo o backdoor PhantomCore.
Backdoors PhantomCore e PhantomGraph
Além do PhantomCore, os atacantes carregam um backdoor chamado PhantomGraph, composto por dois módulos: SysExcSvc.dll, responsável por receber comandos e transmitir resultados, e SysReadSvc.dll, que lê e executa os comandos. Os atacantes usaram uma conta no armazenamento em nuvem Microsoft OneDrive como servidor de comando e controle (C2).
Para estabelecer persistência, os atacantes executam um comando PowerShell codificado em Base64 que instala os módulos como serviços do Windows. Acredita-se que os atacantes dividiram deliberadamente este comando malicioso em dois componentes para dificultar a detecção por ferramentas EDR.
Alvos e detecção
Observamos várias campanhas ativas do Head Mare mirando organizações russas em diversos setores: manufatura de instrumentos, eletrônicos, transporte, energia, TI e desenvolvimento de software. As soluções de segurança da Kaspersky detectam a atividade maliciosa com nomes como Backdoor.PHP.WebShell.abi, Backdoor.Win64.PhantomCore.dt e Trojan.Win64.PhantomGraph.gen.
Recomenda-se que todas as organizações usando software TrueConf instalem a versão mais recente do servidor (5.3.9, 5.4.9 e 5.5.5). Além disso, é crucial verificar se as distribuições do cliente baixadas têm uma assinatura digital válida do TrueConf e não foram adulteradas.
Recomendações para CISOs
Mesmo que sua organização não use um servidor TrueConf, seus funcionários podem se conectar a servidores TrueConf comprometidos de parceiros de negócios para participar de reuniões online e baixar pacotes de instalação infectados. A monitorização de processos de atualização do TrueConf e a verificação de assinaturas digitais são essenciais.
Indicadores de Comprometimento (IoCs)
Os indicadores incluem hashes MD5 de arquivos maliciosos, IPs como 81.177.32[.]12, domínios como penzadogshelter[.]site, nomes de serviços Windows como SysExcSvc e chaves de registro específicas associadas à persistência do malware.