Une intrusion TrueConf a été mise en évidence : des pirates auraient compromis des serveurs de visioconférence pour modifier les installateurs destinés aux clients. Au lieu de livrer une mise à jour légitime, les victimes reçoivent un package altéré, non signé numériquement, qui ouvre la porte à des portes dérobées et à un accès à distance persistant.
Selon des informations rapportées par des chercheurs en sécurité, l’attaque a notamment touché des environnements utilisant TrueConf en déploiement local, y compris des organisations où l’outil est réputé pour répondre à des exigences de contrôle interne. L’enjeu principal : détourner le mécanisme de mise à jour afin d’infecter les utilisateurs lors de leur connexion aux serveurs compromis.
Comment l’intrusion TrueConf se met en place
Le scénario décrit commence par l’exploitation de vulnérabilités présentes dans TrueConf Server, notamment sur des versions antérieures à des correctifs précis. Les attaquants auraient profité de failles non corrigées pour exécuter du code à un niveau de privilèges élevé et prendre le contrôle du serveur.
Une étape importante mentionnée par les chercheurs consiste à établir une connexion vers le serveur cible via un port TCP qui est, d’après les observations, ouvert par défaut. Le point clé est que cette interaction ne nécessiterait pas d’authentification, ce qui facilite l’accès initial.
Escalade de privilèges et exécution de commandes
Après l’accès initial, les pirates auraient utilisé plusieurs vulnérabilités identifiées et suivies par les chercheurs pour parvenir à l’exécution de code. L’attaque passe ensuite par une logique d’isolation contournée : un script malveillant serait exécuté dans un environnement cloisonné, puis les attaquants parviendraient à en sortir pour exécuter des commandes sur le système d’exploitation sous-jacent.
Une fois la maîtrise du système acquise, les attaquants auraient accru leurs privilèges jusqu’à un compte système. À ce stade, ils peuvent modifier des fichiers web et maintenir un accès à long terme, au-delà de la session initiale.
Un web shell pour un accès persistant
Les analyses indiquent que l’un des moyens de persistance consiste à remplacer un fichier précis lié à l’interface web par un web shell. Concrètement, les chercheurs décrivent le remplacement d’un fichier nommé \public\js\locale.php (emplacement tel qu’observé), par un composant capable de recevoir des actions à distance.
Ce mécanisme permettrait aux attaquants de garder la main sur le serveur compromis, d’orchestrer l’exfiltration d’informations et de préparer d’autres modifications, dont le remplacement des installateurs clients hébergés sur le serveur.
Des installateurs clients “trojanisés”
Le cœur de l’intrusion TrueConf réside dans la distribution de mises à jour piégées. Les chercheurs rapportent que les pirates utilisent le web shell pour collecter des informations sensibles, accéder à la base de données TrueConf et surtout remplacer le client d’installation légitime par une version malveillante.
Cette version altérée serait ensuite diffusée aux utilisateurs qui se connectent au serveur local TrueConf de l’organisation. Résultat : les membres reçoivent un installateur trojanisé, non signé numériquement, lors de la procédure de mise à jour ou de téléchargement.
Les chercheurs soulignent aussi un point souvent sous-estimé : même si une organisation ne déploie pas son propre serveur TrueConf, ses employés peuvent rejoindre des réunions via des contreparties compromises. Dans ce cas, ils peuvent télécharger des packages infectés provenant d’un serveur tiers manipulé.
PhantomCore : la backdoor intégrée à l’installation
Le package malveillant inclurait une backdoor connue sous le nom de PhantomCore. Cette backdoor est décrite comme une composante ajoutée au client d’installation hébergé sur le serveur compromis.
Dans ce type d’attaque, l’objectif est généralement double : d’une part, exécuter des actions côté victime une fois l’installation réalisée ; d’autre part, maintenir un canal durable de contrôle pour continuer l’exfiltration ou la progression.
PhantomGraph : une autre porte dérobée par DLL
En plus de PhantomCore, les chercheurs décrivent le déploiement d’une seconde backdoor appelée PhantomGraph. Son fonctionnement repose sur deux fichiers DLL : SysExcSvc.dll et SysReadSvc.dll.
La particularité avancée dans le rapport est le mode de commande : les composants accepteraient des instructions via un compte Microsoft OneDrive, exécuteraient ces commandes et renverraient les résultats. Autrement dit, les attaquants n’utilisent pas seulement un mécanisme “connecté directement au web shell”, mais mettent en place un canal de pilotage distinct.
Reconnaissance, collecte de données et tentative d’exfiltration
Les observations attribuées à PhantomGraph comprennent plusieurs actions typiques d’un cycle d’intrusion. Les attaquants auraient notamment procédé au dump de la mémoire du processus LSASS (Local Security Authority Subsystem Service) afin d’exfiltrer des identifiants.
Le malware exécuterait aussi des commandes de reconnaissance, par exemple pour connaître le nom de l’hôte (hostname) ou le contexte d’exécution (whoami). Les chercheurs signalent également la mise en place d’un tunnel SSH inversé, ce qui peut faciliter le contrôle à distance même en présence de certaines restrictions réseau.
Quelles versions de TrueConf sont touchées
Les vulnérabilités exploitées dans ces attaques affectent des plages de versions de TrueConf Server. D’après les informations recueillies, les failles observées concernent des releases 5.3.x avant 5.3.9, 5.4.x avant 5.4.9, 5.5.x avant 5.5.5, ainsi que des versions plus anciennes.
Les correctifs correspondants auraient été publiés par l’éditeur le 18 juin, avec les versions 5.3.9, 5.4.9 et 5.5.5.
Campagnes actives et méthodes d’accès initial
Les chercheurs indiquent qu’ils observent plusieurs campagnes actives associées aux mêmes acteurs, visant des organisations russes dans divers secteurs : instrumentation, électronique, transport, énergie, informatique et développement logiciel.
Concernant le point d’entrée, le rapport mentionne plusieurs approches : phishing, exploitation de serveurs web exposés et accès via prestataires/contractants. Cette diversité de vecteurs suggère une stratégie où les attaquants adaptent la première prise de contact en fonction des opportunités.
Un avertissement : la vigilance côté mises à jour
Ce qui rend l’intrusion TrueConf particulièrement préoccupante, c’est l’impact sur le flux de mise à jour. Même un environnement correctement configuré peut être exposé si un serveur relais — ou une contrepartie — a été compromis et diffuse des binaires modifiés.
Les chercheurs rappellent que des employés peuvent participer à des réunions et télécharger des installateurs depuis des environnements tiers, ce qui signifie que la surface de risque ne se limite pas aux serveurs internes.
Par ailleurs, un constat général souvent formulé en sécurité est que l’attaque ne dépend pas uniquement de la capacité à “entrer”, mais de la capacité à rester non détectée à travers les étapes. Dans ce contexte, tester et valider les règles de détection côté SIEM/EDR aide les équipes à limiter les angles morts.
Ce que les organisations peuvent faire
Le rapport met clairement en avant l’importance de la mise à jour. Si votre environnement utilise TrueConf Server dans les versions concernées, le premier geste est d’appliquer les correctifs mentionnés (5.3.9, 5.4.9, 5.5.5 et versions correspondantes).
Ensuite, surveillez les indicateurs liés au mécanisme de distribution : présence d’installateurs client non signés, changements inattendus de composants web, et comportements anormaux sur les systèmes exposés. Enfin, élargissez la vigilance aux scénarios d’échanges externes, notamment lors de réunions avec des partenaires.
En résumé, l’intrusion TrueConf illustre comment des vulnérabilités côté serveur peuvent être transformées en chaîne d’infection côté utilisateur, grâce à des mises à jour piégées et des portes dérobées durables.
