Exploração de vulnerabilidades em servidores de vídeo
Pesquisadores da Kaspersky investigando ataques a organizações russas descobriram que instaladores legítimos do cliente de videoconferência TrueConf foram secretamente agrupados com o malware PhantomCore, uma ferramenta associada ao grupo APT Head Mare.
Os instaladores maliciosos foram distribuídos diretamente de um servidor TrueConf pertencente à organização vítima, tornando o ataque especialmente enganoso, já que os funcionários acreditavam estar baixando software confiável.
Os atacantes encadearam duas vulnerabilidades, rastreadas internamente como KLCERT-26-057 e KLCERT-26-058, para executar código arbitrário nos servidores TrueConf. A primeira falha permitiu que um atacante não autenticado se conectasse à porta 4307/TCP e chamasse uma função não documentada para executar um script malicioso.
Controle Total do Servidor
A segunda vulnerabilidade permitiu que os atacantes saíssem de um ambiente de execução isolado e executassem código com privilégios NT AUTHORITY\SYSTEM, concedendo controle total do servidor. Com acesso de nível de sistema, os atacantes substituíram um arquivo legítimo do servidor por uma web shell maliciosa.
Eles usaram isso para mapear a infraestrutura de TI da vítima, obter acesso privilegiado ao banco de dados e substituir instaladores legítimos de clientes por infectados. Em sistemas Windows, eles instalaram serviços backdoor nomeados SysExcSvc e SysReadSvc que se comunicavam via Microsoft OneDrive como canal de comando e controle.
Indicadores de Comprometimento
Em sistemas Linux, os atacantes implantaram um backdoor separado que esconde seus arquivos, intercepta o tráfego de rede TrueConf e usa GitHub para comando e controle. Qualquer pessoa que se juntasse a uma videochamada hospedada em um servidor comprometido recebia um prompt instando-os a baixar um novo aplicativo de cliente.
Esse instalador implantava silenciosamente o cliente TrueConf legítimo junto com uma carga útil PhantomCore oculta disfarçada como DLL, concedendo aos atacantes execução remota de comandos e controle total sobre a estação de trabalho infectada.
Recomendações de Mitigação
A TrueConf corrigiu ambas as vulnerabilidades nas versões de servidor 5.3.9, 5.4.9 e 5.5.5, lançadas em 18 de junho de 2026. A Kaspersky notou que a análise interna encontrou todas as versões de servidor TrueConf lançadas desde 2022 vulneráveis antes do patch.
As equipes de segurança devem atualizar os servidores TrueConf para as versões corrigidas imediatamente e escanear ambientes em busca de indicadores de comprometimento, incluindo hashes de arquivos específicos, caminhos de arquivos suspeitos, domínios maliciosos e nomes de serviços incomuns.