Un grupo de hacktivistas, identificado como Head Mare, habría comprometido servidores de videoconferencia TrueConf para trueconf instaladores troyanizados y así introducir backdoors (puertas traseras) en el proceso de actualización del cliente. El hallazgo, reportado por Kaspersky tras detectarse en julio, muestra cómo una serie de fallas sin parches permitieron al atacante pasar desde la intrusión remota hasta el acceso persistente.
Más allá del riesgo para organizaciones que operan el servidor TrueConf, la investigación también advierte de un efecto “en cadena”: empleados que solo se conectan para participar en reuniones podrían recibir paquetes de instalación maliciosos. A continuación, repasamos qué se sabe del ataque, qué debilidades se aprovecharon y qué acciones ayudan a reducir la exposición.
Cómo lograron el acceso al servidor TrueConf
Según Kaspersky, los atacantes explotaron vulnerabilidades en servidores TrueConf que no habían sido actualizados. El mecanismo de entrada se basó en una conexión a un puerto de red que, en la configuración por defecto, permanece abierto: el TCP 4307.
Lo importante aquí es que, mediante ese acceso, el atacante pudo contactar con el servidor sin autenticación. Una vez dentro, aprovechó dos fallos distintos: uno para ejecutar un script malicioso en un entorno aislado dentro de TrueConf, y otro para salir de ese “sandbox” y ejecutar comandos directamente en el sistema operativo subyacente.
Ejecución con privilegios y reemplazo de archivos
Tras escapar de la contención, el agresor aumentó sus privilegios hasta NT AUTHORITY\SYSTEM, el nivel más alto en Windows. Con esos permisos, procedió a modificar componentes del servidor para mantener el control.
En concreto, sustituyó el archivo \public\js\locale.php por un web shell. Este recurso actúa como una puerta de acceso persistente que permite operar el servidor comprometido sin depender únicamente del primer vector de intrusión.
Además, el análisis indica que el web shell se utilizó para recolectar información sensible, acceder a la base de datos de TrueConf y preparar el paso clave: la alteración del instalador del cliente alojado en el servidor.
La pieza central: trueconf instaladores troyanizados
El objetivo final del ataque fue empaquetar una actualización maliciosa del cliente TrueConf para entregar a víctimas nuevas versiones de instalación no confiables. Kaspersky describe que los atacantes reemplazaron el instalador legítimo por una versión modificada que incorporaba una backdoor, en este caso la denominada PhantomCore.
El impacto se concreta cuando miembros de la organización se conectan a su servidor local TrueConf. En ese momento, el sistema les ofrece una actualización troyanizada y sin firma digital, es decir, un instalador que no cumple las garantías esperadas.
La advertencia de Kaspersky es clara: incluso si una empresa no opera un servidor TrueConf propio, empleados pueden terminar conectando a servidores TrueConf comprometidos de terceros para asistir a reuniones y, como consecuencia, descargar paquetes de instalación infectados.
PhantomCore y PhantomGraph: dos backdoors para distintos objetivos
El reporte no se queda en una sola puerta trasera. Además de PhantomCore, el grupo habría desplegado PhantomGraph, una backdoor compuesta por dos archivos DLL: SysExcSvc.dll y SysReadSvc.dll.
La particularidad de PhantomGraph es su canal de comunicación. Para recibir instrucciones, utiliza una cuenta de Microsoft OneDrive, desde donde acepta comandos, los ejecuta y luego devuelve resultados. Este patrón contribuye a la persistencia y dificulta la detección, ya que el “tráfico” puede parecer legítimo si no se analiza con criterio.
Evidencias observadas: robo de credenciales y reconocimiento
Entre las actividades observadas por los investigadores, PhantomGraph habría participado en el volcado de la memoria del proceso LSASS (Local Security Authority Subsystem Service) con el fin de exfiltrar credenciales. Este tipo de acción suele ser un paso común para escalar el impacto de un incidente.
Asimismo, la backdoor ejecutó comandos orientados a reconocimiento del entorno, por ejemplo hostname y whoami, y llegó a iniciar un túnel SSH inverso para mantener un canal de control.
Versiones afectadas y correcciones del fabricante
De acuerdo con Kaspersky, las vulnerabilidades impactan distintas ramas de TrueConf. Las fallas explotadas en los ataques afectan TrueConf Server 5.3.x antes de 5.3.9, 5.4.x antes de 5.4.9 y 5.5.x antes de 5.5.5, además de versiones anteriores.
El fabricante corrigió los problemas en las versiones 5.3.9, 5.4.9 y 5.5.5, publicadas el 18 de junio. Por ello, la actualización del software aparece como la medida preventiva más directa.
Señales adicionales: campañas y otros vectores de ataque
Kaspersky indica que, al momento del reporte, observaba múltiples campañas activas de Head Mare dirigidas a organizaciones rusas en sectores como instrumentación, electrónica, transporte, energía, IT y desarrollo de software.
En cuanto a métodos de acceso inicial, el actor habría usado diferentes aproximaciones, incluyendo phishing, explotación de servidores web expuestos públicamente y acceso vía contratistas. Esto sugiere que la intrusión no dependía de una sola vía técnica, sino de una estrategia más amplia para encontrar puntos débiles.
Qué hacer para reducir el riesgo
Si tu organización utiliza TrueConf o participa en reuniones a través de servidores de terceros, el incidente deja una lección práctica: hay que asumir que una cadena de suministro “interna” (como las actualizaciones servidas por un servidor corporativo) puede convertirse en un vector de malware.
- Actualiza TrueConf Server a una versión corregida (por lo menos 5.3.9, 5.4.9 o 5.5.5, según corresponda).
- Revisa exposición: verifica qué puertos están abiertos y si existen servicios que permitan conexiones sin autenticación.
- Controla la integridad de instaladores y actualizaciones: busca instalaciones no firmadas o cambios inesperados.
- Fortalece la monitorización de endpoints y servidores: actividades como acceso a rutas web, cambios en archivos de la carpeta pública y ejecución de comandos fuera de lo habitual deben investigarse.
- Aplica verificación operativa antes de que algo “pase”: simula escenarios y valida que tus alertas SIEM/EDR respondan cuando un ataque intenta cruzar capas de seguridad.
En conjunto, la investigación muestra cómo una combinación de vulnerabilidades, escalamiento de privilegios y reemplazo de instaladores puede materializarse en trueconf instaladores troyanizados con backdoors. Actualizar y auditar la forma en que se sirven las actualizaciones es clave para cortar el ataque antes de que llegue a los usuarios.
Conclusión
El caso de Head Mare contra TrueConf subraya un riesgo real en entornos empresariales: cuando un servidor de videoconferencia se compromete, también puede convertirse en un mecanismo para entregar malware a través de instaladores. Los trueconf instaladores troyanizados descritos por Kaspersky incluyen backdoors como PhantomCore y PhantomGraph, con capacidades que van desde el control remoto hasta el robo de credenciales.
La respuesta más efectiva empieza por cerrar las brechas (actualizando a versiones corregidas) y continúa con controles de integridad y monitoreo que detecten cambios sospechosos en el servidor y en el proceso de actualización del cliente.
