Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Head Mare APT is exploiting vulnerabilities in an unpatched TrueConf server to deliver PhantomCore and PhantomGraph to video conference participants

1 minute de lecture

Mis à jour :

Campagne d’espionnage Head Mare via les serveurs TrueConf

Le groupe APT « Head Mare » a lancé une campagne sophistiquée ciblant les serveurs de visioconférence TrueConf. En exploitant des vulnérabilités critiques, les attaquants compromettent les serveurs pour déployer des portes dérobées (PhantomCore et PhantomGraph) et diffuser des installeurs clients infectés.

Points clés :

  • Mode opératoire : Accès non autorisé via le port 4307/TCP, exécution de scripts à distance, évasion de bac à sable (sandbox) et obtention de privilèges NT AUTHORITY\SYSTEM.
  • Persistance : Utilisation de clés de registre (CLSID) et installation de services Windows malveillants.
  • Command & Control (C2) : Utilisation de comptes Microsoft OneDrive pour piloter les modules SysExcSvc.dll et SysReadSvc.dll.
  • Impact : Vol de données d’infrastructure, accès aux bases de données et compromission des utilisateurs finaux par remplacement des paquets d’installation légitimes.

Vulnérabilités :

  • Identifiants internes : KLCERT-26-057 (exécution de script) et KLCERT-26-058 (évasion de bac à sable).
  • Versions affectées : TrueConf Server 5.3.X (jusqu’à 5.3.8), 5.4.X (jusqu’à 5.4.8) et 5.5.X (jusqu’à 5.5.4).

Recommandations :

  1. Mise à jour immédiate : Appliquer les correctifs du 18 juin 2026 (versions 5.3.9, 5.4.9 et 5.5.5).
  2. Vérification d’intégrité : Contrôler la signature numérique de tous les installeurs TrueConf avant exécution. Les installeurs malveillants sont dépourvus de signature valide.
  3. Surveillance :
    • Surveiller la création de processus suspects par trueconf_windows_update.exe.
    • Auditer la clé de registre HKEY_CURRENT_USER\Software\Classes\CLSID\{0340F119-A598-4ed9-B0AC-6F6A12D3E755}\InprocServer32.
    • Détecter les accès suspects à lsass.exe et l’utilisation de comsvcs.dll pour les dumps mémoire.
  4. Contexte élargi : Même sans serveur TrueConf interne, la vigilance est requise lors de la participation à des réunions tierces via ce logiciel, les participants pouvant télécharger des installeurs corrompus depuis des serveurs compromis.

Source

Vous pourriez aimer