Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

TrueConf Server Flaws Exploited to Replace Client Installers with PhantomCore

1 minute de lecture

Mis à jour :

Compromission de serveurs TrueConf par le groupe Head Mare

Le groupe de menace « Head Mare » exploite des vulnérabilités critiques dans les serveurs de visioconférence TrueConf pour infiltrer des entreprises russes. Les attaquants utilisent une chaîne d’exploitation pour élever leurs privilèges, installer des web shells et remplacer les installateurs clients légitimes par des versions infectées par le backdoor PhantomCore.

Points clés

  • Mode opératoire : Exploitation du port TCP 4307 pour exécuter des scripts malveillants, briser l’isolation du serveur et obtenir des privilèges NT AUTHORITY\SYSTEM.
  • Persistance : Utilisation de web shells, de services Windows malveillants et d’outils de communication via le stockage cloud OneDrive (backdoor PhantomGraph).
  • Cibles : Secteurs de l’instrumentation, de l’énergie, des transports et du développement logiciel en Russie.
  • Technique additionnelle : L’article souligne également une campagne distincte visant le logiciel ViPNet, où des DLL malveillantes (HelloInjector/HelloProxy) sont chargées via le mécanisme de mise à jour légitime du logiciel.

Vulnérabilités exploitées

  • KLCERT-26-057 : Exécution initiale de script malveillant.
  • KLCERT-26-058 : Évasion de l’environnement isolé (sandbox) pour l’exécution de commandes arbitraires sur l’hôte.
  • CVE-2026-3502 : Flaw haute sévérité utilisée précédemment dans une campagne liée au cadre C2 Havoc.

Recommandations

  • Mise à jour immédiate : Appliquer les correctifs fournis par l’éditeur en installant les versions 5.3.9, 5.4.9 ou 5.5.5 (sorties le 18 juin 2026).
  • Surveillance : Inspecter les serveurs pour détecter la présence de web shells (notamment dans public\js\locale.php) et surveiller les processus anormaux utilisant svchost.exe avec des arguments suspects.
  • Sécurisation : Restreindre l’accès au port 4307 et surveiller les comportements inhabituels liés aux services Windows nouvellement créés ou aux communications sortantes vers des services cloud non autorisés.

Source

Vous pourriez aimer