Hacker haben offenbar einen Weg gefunden, bei TrueConf-Client-Installer gezielt Schadcode einzuschleusen. Das Ziel: aus kompromittierten TrueConf-Servern manipulierte Updates ausrollen, die nach der Installation versteckte Funktionen nachladen und einen dauerhaften Zugriff ermöglichen.
Der Angriff wird im Zusammenhang mit der Hacktivist-Gruppe „Head Mare“ beschrieben. Sicherheitsunternehmen fanden die Aktivitäten im Juli und konnten mehrere Bausteine der Attacke nachvollziehen—von der Ausnutzung ungepatchter Schwachstellen bis hin zu Backdoors, die Informationen aus dem Umfeld sammeln und sogar den weiteren Installationsprozess verunreinigen.
Wie Angreifer TrueConf-Server ausnutzen
Laut den Recherchen griffen die Angreifer auf TrueConf-Server zu, die nicht auf dem neuesten Stand waren. Dabei wurden Server-Schwachstellen verwendet, um innerhalb der Zielumgebung Code ausführen zu können—und zwar mit den höchsten verfügbaren Berechtigungen.
Ein entscheidender Punkt: Die Angreifer konnten sich über einen standardmäßig offenen TCP-Port verbinden, ohne vorher eine Authentifizierung durchlaufen zu müssen. So gelang es ihnen, den Weg zum Server zu finden und anschließend die eigentlichen Schwachstellen auszunutzen.
Von der isolierten Umgebung zur System-Ebene
Die Angreifer nutzten zwei Schwachstellen, die intern von Kaspersky als KLCERT-26-057 und KLCERT-26-058 geführt werden. Zuerst wurde ein bösartiges Skript in einer isolierten Umgebung gestartet. Anschließend schafften sie es, die Sandbox zu überwinden und Befehle auf dem zugrunde liegenden Betriebssystem auszuführen.
Danach steigerten sie die Rechte bis auf NT AUTHORITY\SYSTEM. In dieser Phase konnten sie Dateien austauschen und Mechanismen einrichten, um später wieder zurückzukommen—also nicht nur kurzfristig zuzugreifen, sondern langfristig.
Dateiwechsel und Webshell für anhaltenden ZugangEin beobachteter Schritt war das Ersetzen einer bestimmten Datei unter dem Pfad \public\js\locale.php. Statt der legitimen Datei hinterlegten die Angreifer eine Webshell. Eine Webshell ist im Kern eine versteckte Zugriffskomponente, die es Angreifern erleichtert, später wieder über den kompromittierten Server Befehle auszuführen.
Damit wächst das Risiko in zwei Richtungen: Zum einen können Angreifer die Kontrolle über den infizierten Server langfristig ausüben. Zum anderen können sie gezielt weitere Elemente der Lieferkette manipulieren—also genau die Komponenten, die für Updates oder Installationen verwendet werden.
Manipulierte Updates: Trojanisierter TrueConf-Client-Installer
Besonders kritisch wird es, wenn die kompromittierten Server die Infrastruktur für Updates bereitstellen. Kaspersky beschreibt, dass die Angreifer über die Webshell sensible Informationen aus dem Umfeld sammeln konnten, auf die TrueConf-Datenbank zugriffen und anschließend den TrueConf-Client-Installer ersetzten, der auf dem Server gehostet wurde.
Das Ergebnis: Sobald Mitglieder der betroffenen Organisation eine lokale TrueConf-Instanz nutzen, erhalten sie beim Updateprozess einen trojanisierten, nicht digital signierten Client-Installer. Er wirkt wie eine reguläre Aktualisierung, enthält aber eine Backdoor-Komponente.
Die Warnung geht dabei über „eigene“ Server hinaus: Auch wenn eine Organisation keinen TrueConf-Server betreibt, können Mitarbeitende dennoch gefährdet sein. Denn sie können sich über kompromittierte Gegenstellen mit anderen TrueConf-Systemen verbinden und dadurch infizierte Installationspakete herunterladen.
PhantomCore und PhantomGraph: Zwei Backdoor-Module
Die Angriffe umfassten mehrere Backdoors. Kaspersky nennt dabei PhantomCore als eine Komponente, die im manipulierten Client-Installer steckt. Zusätzlich wurde PhantomGraph beobachtet, eine separate Backdoor-Struktur, die aus zwei DLL-Dateien besteht: SysExcSvc.dll und SysReadSvc.dll.
PhantomGraph kommuniziert dabei über ein Microsoft-OneDrive-Konto: Befehle werden angenommen, ausgeführt und die Ergebnisse anschließend zurückgegeben. Diese Art der Steuerung kann helfen, den Daten- und Befehlspfad schwerer erkennbar zu machen, weil die Kommunikation an einen legitimen Cloud-Dienst gekoppelt ist.
Konkrete Aktivitäten nach der Kompromittierung
Neben dem Aufsetzen der Backdoors wurden mehrere typische Post-Exploitation-Aktivitäten beschrieben.
- Credential-Diebstahl: Kaspersky beobachtete, dass PhantomGraph Speicher des Prozesses „Local Security Authority Subsystem Service“ (LSASS) ausliest, um Anmeldeinformationen zu exfiltrieren.
- Reconnaissance: Es wurden Befehle ausgeführt, um das System zu identifizieren, etwa hostname und whoami.
- Persistenz/Steuerung über Tunnel: Die Malware startete zudem einen Reverse-SSH-Tunnel, um eine Rückverbindung zu ermöglichen.
Zusammen betrachtet zeigt das Bild: Nach erfolgreicher Ausnutzung der Server-Schwachstellen wird nicht nur Datenabfluss betrieben, sondern auch die Grundlage für weitere Aktionen im Netzwerk vorbereitet.
Welche TrueConf-Versionen betroffen waren
Die von Kaspersky beobachteten Schwachstellen betrafen TrueConf Server in bestimmten Versionenbereichen. Genannt werden dabei unter anderem:
- TrueConf Server 5.3.x vor 5.3.9
- TrueConf Server 5.4.x vor 5.4.9
- TrueConf Server 5.5.x vor 5.5.5
Ältere Versionen waren ebenfalls im Fokus der Ausnutzung. Die Herstellerseite schloss die Lücken offenbar mit Updates in den Versionen 5.3.9, 5.4.9 und 5.5.5, veröffentlicht am 18. Juni.
Weitere Berichte und zeitlicher Kontext
Auch CheckPoint Research meldete später ein zusätzliches Muster: Im April 2026 wurde über eine Zero-Day-Schwachstelle berichtet, die als CVE-2026-3502 erfasst wurde. Laut CheckPoint sollten Angreifer Nutzer über trojanisierte Client-Updates kompromittiert haben.
Die Kampagne wurde „Operation True Chaos“ genannt. Als mögliche Zuordnung wird vorsichtig auf chinesische Bedrohungsakteure verwiesen, die mit dem „Havoc“-Implantat in Verbindung gebracht werden.
Welche Einstiegsmethoden Head Mare nutzt
Für die Kampagne werden mehrere Wege zum Erstzugriff beschrieben. Dazu gehören:
- Phishing
- Ausnutzen öffentlich erreichbarer Webserver
- Zugriff über Auftragnehmer
Dass mehrere Initialzugriffswege genutzt werden, spricht dafür, dass die Gruppe nicht auf einen einzigen „Einstieg“ setzt, sondern in der Lage ist, je nach Umgebung passende Eintrittspunkte zu wählen.
Warum Updates und Gegenstellen ein zusätzliches Risiko sind
Der zentrale Punkt in dieser Geschichte ist die Kombination aus Serverkompromittierung und Update-Manipulation. Selbst wenn ein Unternehmen seine eigenen Systeme sauber betreibt, kann es über externe Konferenzpartner trotzdem indirekt in Kontakt mit einem TrueConf-Client-Installer kommen, der bereits kompromittiert ist.
Deshalb sollten Sicherheitsverantwortliche nicht nur lokale Installationsroutinen betrachten, sondern auch den gesamten Weg der Konferenzdaten und Updateverteilung. Insbesondere sollten Organisationen auf Hinweise achten, die auf nicht autorisierte Änderungen hindeuten—zum Beispiel fehlende Signaturen oder unerwartete Aktualisierungsvorgänge.
Was Teams jetzt praktisch prüfen können
Gezielte Abwehrmaßnahmen hängen von der konkreten Umgebung ab, aber aus den beschriebenen Abläufen lassen sich sinnvolle Prüfhandlungen ableiten:
- Server-Updates nachziehen: Prüfen, ob TrueConf Server in den betroffenen Versionenbereichen aktuell sind.
- Update-Pfade kontrollieren: Überprüfen, ob Client-Installer beim Updateprozess erwartungsgemäß signiert und unverändert bereitgestellt werden.
- Netzwerk- und Kommunikationsmuster beobachten: Auffällige Verbindungen (z. B. zu Steuerkanälen wie Cloud-Diensten) können Hinweise auf Backdoor-Kommunikation liefern.
- Post-Exploitation-Indikatoren prüfen: Aktivitäten in Richtung LSASS-Auslese, ungewöhnliche Systemabfragen oder Reverse-Tunnel können als Alarmzeichen dienen.
So wird es wahrscheinlicher, dass verdächtige Muster nicht erst bemerkt werden, wenn der Schaden bereits angerichtet ist.
Fazit
Der Fall zeigt, wie Angreifer mit wenigen gezielten Schritten weitreichende Wirkung erzielen können: TrueConf-Server werden ausgenutzt, Rechte werden erhöht, persistente Zugriffswege werden installiert und schließlich wird der TrueConf-Client-Installer als Update-Plattform missbraucht. Betroffen sein können damit nicht nur Betreiber eigener TrueConf-Server, sondern auch Organisationen, die über Gegenstellen an Besprechungen teilnehmen.
Die wichtigste Lehre bleibt: Zeitnah patchen, Update-Integrität prüfen und verdächtige Aktivitäten—von Server-Dateiänderungen bis zu Backdoor-Kommunikation—konsequent überwachen.
