El grupo Head Mare ha explotado vulnerabilidades no parcheadas en TrueConf, plataforma de videoconferencia ampliamente utilizada en Rusia por el sector empresarial y gubernamental, para reemplazar instaladores de cliente con versiones maliciosas que entregan backdoors PhantomCore y PhantomGraph. Kaspersky descubrió la campaña en julio tras investigar servidores comprometidos.
Por qué importa: Empleados de organizaciones sin TrueConf propio pueden descargar instaladores infectados al conectarse a servidores comprometidos de terceros en reuniones, propagando el malware sin saberlo. El acceso de Head Mare a bases de datos y credenciales expone datos sensibles de infraestructura crítica.
Lo esencial
- Los atacantes usaron puertos abiertos por defecto (TCP 4307) y dos vulnerabilidades sin autenticación (KLCERT-26-057 y KLCERT-26-058) para ejecutar comandos con privilegios NT AUTHORITY\SYSTEM.
- Head Mare desplaza PhantomGraph, backdoor con dos DLL que acepta comandos vía Microsoft OneDrive, incluyendo volcado de credenciales del proceso LSASS y túneles SSH inversos.
- Los fallos afectan TrueConf Server 5.3.x anterior a 5.3.9, 5.4.x anterior a 5.4.9, y 5.5.x anterior a 5.5.5; el vendor lanzó parches el 18 de junio de 2026.
Cadena de explotación sin autenticación
Head Mare conectó directamente al puerto 4307 de TrueConf sin credenciales y ejecutó un script malicioso aprovechando KLCERT-26-057 dentro del entorno aislado del servidor. Con KLCERT-26-058 escapó del sandbox y alcanzó el sistema operativo subyacente. Posteriormente, elevó privilegios a nivel de sistema e inyectó un web shell en el archivo /public/js/locale.php, asegurando acceso remoto persistente.
