Hackers sfruttano vulnerabilità TrueConf per installare backdoor nei pacchetti di installazione

Il gruppo di hacktivisti Head Mare ha sfruttato vulnerabilità nei server di TrueConf per sostituire i pacchetti di installazione con versioni maliziose che contengono backdoor. L’attacco, scoperto da Kaspersky a luglio 2026, ha interessato organizzazioni russe in diversi settori, tra cui energia, trasporti e IT. I cybercriminali hanno utilizzato porte aperte e vulnerabilità non patchate per accedere ai server e installare malware come PhantomCore e PhantomGraph, permettendo il furto di credenziali e il controllo remoto. Kaspersky ha rilevato che le vulnerabilità sono state collegate a un bug zero-day (CVE-2026-3502) e che le patch sono state rilasciate a giugno 2026.

TrueConf, strumento di videoconferenza utilizzato in Russia

TrueConf è un software di videoconferenza utilizzato in Russia, soprattutto nel settore pubblico e aziendale, come alternativa sicura a strumenti occidentali come Zoom e Microsoft Teams. La sua popolarità ha reso il sistema un bersaglio per attacchi informatici. Kaspersky ha segnalato che i cybercriminali hanno sfruttato porte aperte e vulnerabilità non corrette per accedere ai server e installare malware. I ricercatori hanno rilevato che i malintenzionati hanno sostituito i pacchetti di installazione con versioni trojanizzate, che contengono backdoor come PhantomCore e PhantomGraph.

Kaspersky ha avvertito che anche le organizzazioni non utilizzatrici del server TrueConf possono essere colpite se i dipendenti si connettono a server compromessi. L’attacco ha dimostrato come le vulnerabilità non patchate possano essere sfruttate per compromettere sistemi e installare malware. La situazione ha suscitato preoccupazioni, soprattutto in Russia, dove TrueConf è ampiamente utilizzato.

Metodi di accesso e attacchi osservati

Head Mare ha utilizzato diversi metodi per accedere ai sistemi, tra cui phishing, sfruttamento di server web pubblici e accesso tramite contractor. Gli attacchi hanno incluso la creazione di un web shell per accedere al database di TrueConf e il furto di credenziali tramite il dump della memoria del processo LSASS. Inoltre, i cybercriminali hanno eseguito comandi per attività di reconnaissance, come hostname e whoami, e hanno avviato tunnel SSH inversi. Kaspersky ha rilevato che le vulnerabilità sfruttate riguardano versioni precedenti al 5.3.9, 5.4.9 e 5.5.5 del server TrueConf.

Le vulnerabilità sono state sfruttate in diversi attacchi, tra cui quelli legati al bug zero-day CVE-2026-3502. CheckPoint ha attribuito l’operazione a attori cinesi connessi all’implant Havoc. La situazione ha reso necessario un aggiornamento rapido e una maggiore attenzione alla sicurezza. Kaspersky ha rilevato che i cybercriminali continuano a sfruttare le vulnerabilità non patchate, mettendo a rischio la sicurezza di organizzazioni in diversi settori. La società ha rilasciato patch per correggere le vulnerabilità, ma molti sistemi non sono ancora aggiornati. Kaspersky ha avvertito che le organizzazioni devono verificare ogni livello di sicurezza prima che i cybercriminali lo facciano. La percentuale di attacchi rilevati da sistemi di sicurezza è bassa, con solo il 14% dei casi segnalati. La simulazione di attacco permette di identificare le minacce che passano inosservate.