TrueConf Server: Head Mare missbraucht Sicherheitslücken

Angriffe auf TrueConf Server haben erneut gezeigt, wie wirkungsvoll eine Kette aus mehreren Schwachstellen sein kann. Laut Berichten von Kaspersky hat die Bedrohungsakte „Head Mare“ Sicherheitslücken in bislang nicht gepatchten TrueConf-Installationen ausgenutzt, um Systeme russischer Organisationen über verschiedene Branchen hinweg zu kompromittieren.

Im Kern geht es dabei nicht nur um eine kurzfristige Ausführung von Code auf dem Server. Die Angreifer sollen vielmehr die ursprünglichen TrueConf-Client-Installer durch manipulierte Versionen ersetzt haben. So konnte die Schadsoftware anschließend auch auf anfälligen Zielsystemen bereitgestellt werden – inklusive einer Backdoor-Funktion und eines Remote Access Trojans (RAT).

Welche TrueConf Server Sicherheitslücken ausgenutzt wurden

Kaspersky ordnet die Aktivität zwei Schwachstellen zu, die als KLCERT-26-057 und KLCERT-26-058 verfolgt werden. Laut den verfügbaren Details erlauben die Lücken beliebige Codeausführung mit erhöhten Rechten.

Betroffen sind TrueConf Server-Versionen innerhalb mehrerer Reihen, unter anderem 5.3.x bis 5.3.9, 5.4.x bis 5.4.9, sowie 5.5.x bis 5.5.5 und auch frühere Builds. Für Organisationen ist das relevant, weil selbst „nahe am aktuellen Stand“ liegende Versionen noch gefährdet sein können, wenn nicht genau die gepatchten Releases verwendet werden.

So läuft die Angriffskette auf dem TrueConf Server

Die Vorgehensweise der Angreifer ist mehrstufig und zielt darauf ab, zuerst eingeschränkte Ausführungskontexte zu nutzen und anschließend die Kontrolle über den Host zu übernehmen.

• Verbindung zum Server: Die Angreifer stellen eine Verbindung zu TrueConf her, über den TCP-Port 4307, der standardmäßig geöffnet ist.
• Schadcode starten: Nach erfolgreicher Verbindung soll die Lücke KLCERT-26-057 verwendet werden, um ein bösartiges Skript auf dem Server auszuführen.
• Isolation zunächst ausnutzen: Das Skript läuft dabei zunächst in einer abgeschirmten Umgebung, wodurch der Zugriff auf Betriebssystemfunktionen begrenzt wird.
• Aus der Isolation heraus: Anschließend folgt die Ausnutzung von KLCERT-26-058, um die isolierte Umgebung zu verlassen und auf dem eigentlichen System beliebige Befehle auszuführen.
• Höchste Rechte: Laut Kaspersky führen die Angreifer den Code anschließend mit Rechten von NT AUTHORITY\SYSTEM aus.

Diese Abfolge ist typisch für Angriffsgruppen, die zunächst Barrieren umgehen müssen, um später möglichst vollständige Kontrolle zu erlangen.

Webshell als Basis für Persistenz und Datenzugriff

Ein zentraler Schritt der Kompromittierung besteht darin, dass ein Dateiinhalt auf dem Server gezielt ersetzt wird. Konkret soll die Datei …\