En juillet 2026, des spécialistes de la sécurité ont de nouveau observé des campagnes visant des entreprises russes à l’aide de failles affectant TrueConf Server non corrigé. L’objectif : compromettre le serveur de visioconférence, puis pousser des composants malveillants capables d’ouvrir un accès à distance et de persister dans l’environnement infecté.
Selon Kaspersky, ces attaques ont été attribuées à un acteur connu sous le nom de Head Mare. Le schéma d’intrusion repose sur l’exploitation d’une chaîne de vulnérabilités qui aboutit au remplacement d’installateurs clients par des versions “empoisonnées”, intégrant un backdoor nommé PhantomCore.
Ce que les attaquants cherchent à compromettre
Les cibles appartiennent à plusieurs secteurs en Russie, notamment l’instrumentation, l’électronique, le transport, l’énergie, l’informatique et le développement logiciel. En pratique, l’attaquant n’aborde pas seulement l’interface de visioconférence : il exploite TrueConf Server comme point d’entrée pour installer un accès distant et obtenir davantage de contrôle sur l’hôte.
L’exploitation vise des versions précises du serveur, allant de la branche 5.3.x à 5.5.x, avec un impact identifié jusqu’aux niveaux 5.3.9, 5.4.9 et 5.5.5 inclus comme correctifs. Les versions mentionnées comme vulnérables couvrent par exemple 5.3.x (jusqu’à 5.3.9), 5.4.x (jusqu’à 5.4.9) et 5.5.x (jusqu’à 5.5.5), ainsi que des versions antérieures.
Chaîne d’attaque : de la connexion réseau à la persistance
Le déroulé technique, tel que décrit par Kaspersky, suit un enchaînement clair. Les attaquants commencent par se connecter au serveur via le TCP 4307, un port ouvert par défaut.
Une fois la connexion établie, ils exploitent successivement deux vulnérabilités, référencées par KLCERT-26-057 et KLCERT-26-058. Ensemble, ces failles permettent une exécution de code arbitraire avec des privilèges élevés.
1) Exécution dans un environnement isolé
Après l’exploitation de KLCERT-26-057, un script malveillant est lancé sur le serveur. Kaspersky précise que ce script s’exécute dans un environnement isolé, ce qui limite l’accès direct aux fonctions sensibles du système d’exploitation.
2) Sortie de l’isolement et commande au niveau hôte
Ensuite, l’exploitation de KLCERT-26-058 sert à “sortir” de l’environnement isolé. L’attaquant peut alors exécuter des commandes sur l’hôte sous-jacent.
La progression aboutit à l’exécution de code avec des privilèges correspondant à NT AUTHORITY\SYSTEM, ce qui renforce fortement la capacité de l’adversaire à modifier l’infrastructure et à installer des charges utiles.
3) Remplacement d’un fichier et installation d’un web shell
Pour conserver un accès durable, les attaquants remplacent le fichier …\public\js\locale.php par un web shell. À partir de là, le web shell devient un point d’appui : il facilite l’accès à distance et permet des actions répétées sans re-s’authentifier via des procédures classiques.
D’après Kaspersky, le web shell a été utilisé pour collecter des informations sur l’infrastructure IT, obtenir un accès privilégié à la base de données TrueConf, puis remplacer la distribution client d’origine par une version infectée contenant PhantomCore.
PhantomCore et PhantomGraph : deux briques, une finalité
Le malware ne se limite pas à un seul composant. Le web shell agit aussi comme vecteur vers un second backdoor appelé PhantomGraph. Kaspersky indique que PhantomGraph présente un recouvrement partiel de code avec PhantomCore et inclut deux modules DLL.
- SysExcSvc.dll : conçu pour recevoir des commandes et renvoyer leurs résultats.
- SysReadSvc.dll : chargé d’analyser les commandes reçues, de les exécuter et d’enregistrer les résultats.
Concernant la communication, Kaspersky précise que les résultats sont exfiltrés vers Microsoft OneDrive, utilisé comme mécanisme de command-and-control (C2). Ce choix rend l’échange discret, car le trafic peut ressembler à des activités légitimes liées au stockage cloud.
Persistance via services Windows
Pour établir une présence durable sur le système, les attaquants exécutent une commande PowerShell encodée en Base64. Cette étape installe les deux DLL en tant que services Windows : SysExcSvc.dll et SysReadSvc.dll.
Le découpage en deux composants a un objectif stratégique : rendre la détection plus difficile pour les outils de sécurité, notamment les solutions capables d’analyser des comportements et des charges utiles à partir de signatures ou d’artefacts uniques.
Actions post-compromission : collecte et accès à distance
Outre le web shell et les modules de contrôle, les chercheurs décrivent plusieurs actions supplémentaires. Les attaquants lancent notamment un tunnel SSH inverse, récupèrent un dump mémoire du processus lsass.exe, et collectent des informations système avec des commandes comme hostname et whoami.
Ces étapes sont typiques d’une phase d’escalade de contrôle et de reconnaissance : comprendre l’environnement, préparer d’éventuelles étapes ultérieures et évaluer l’impact potentiel sur les identités.
Correctifs TrueConf Server : mises à jour à appliquer
Bonne nouvelle : les vulnérabilités ont été corrigées par l’éditeur. Les versions TrueConf Server les plus récentes citées incluent 5.3.9, 5.4.9 et 5.5.5, publiées le 18 juin 2026.
Les organisations qui utilisent TrueConf Server sont donc invitées à télécharger et déployer les dernières versions afin de réduire le risque d’exploitation sur des systèmes non corrigés.
Un pattern plus large : d’autres abus signalés
Ce cas s’inscrit dans une série d’observations. Kaspersky rappelle que TrueConf a déjà été ciblé par des groupes cherchant à abuser de failles et de mécanismes de mise à jour.
Auparavant, Positive Technologies avait divulgué au printemps des vulnérabilités dans le logiciel (référencées BDU:2025-10114, BDU:2025-10115 et BDU-2025-10116). D’après les rapports, ces failles auraient été exploitées par le même type d’acteurs depuis septembre 2025 pour déployer des web shells PHP et des charges utiles orientées vol d’informations et exécution de commandes.
Par ailleurs, Check Point a mentionné une faille de sévérité élevée dans le client TrueConf, référencée CVE-2026-3502. L’exploitation aurait été observée dans la nature en tant que zero-day, dans une campagne visant des entités gouvernementales en Asie du Sud-Est et utilisant un cadre C2 nommé Havoc.
Extension de la menace : abus du mécanisme de mise à jour ViPNet
Quelques semaines avant cette affaire, Kaspersky a aussi décrit une attaque de style APT, visant notamment des secteurs comme le gouvernement, l’énergie, le transport, l’éducation et la logistique en Russie. Cette campagne s’appuie cette fois sur le mécanisme de mise à jour d’un autre produit de l’écosystème russe : ViPNet.
Le scénario “HelloNet” repose sur l’exécution d’une DLL malveillante, nommée wtsapi32.dll et présentée comme si elle faisait partie du système de mise à jour légitime. Kaspersky précise que le composant de chargement, surnommé HelloInjector, est injecté via la commande itcsrvup64.exe, avec une exécution dans un contexte lié à svchost.exe.
Le loader effectue ensuite des vérifications sur les processus en cours avant d’injecter le code dans une cible appropriée, notamment en recherchant un contexte où le nom et la ligne de commande correspondent à certains motifs. Une fois dans le bon processus, il récupère ou exécute un module de type HelloProxy stocké dans le corps du composant.
HelloExecutor, HelloCleaner et implant Rust
Dans cette campagne, Kaspersky décrit deux composantes principales :
- HelloExecutor : exécute des commandes sur la machine infectée et peut lancer un tunnel SSH.
- HelloCleaner : supprime des traces, notamment en nettoyant les journaux liés aux logiciels ViPNet.
Un implant en Rust appelé HelloBackdoor est également mentionné. Il peut permettre des transferts de fichiers vers et depuis le serveur C2, et interpréter des commandes qui ne respectent pas un format attendu via cmd.exe.
Ce que cela signifie pour les entreprises
Les détails de la campagne montrent un usage pragmatique des failles et des chemins d’exécution pour atteindre trois objectifs : prendre le contrôle du serveur, installer un accès persistant, puis propager la compromission via des distributions client modifiées.
Pour les organisations qui déploient TrueConf Server, la priorité reste simple : maintenir les systèmes à jour et vérifier que les versions corrigées sont en production. En parallèle, il est utile de renforcer la surveillance des accès réseau inhabituels (notamment sur les ports ouverts par défaut) et des tentatives de création de services ou de communication via des services cloud pouvant servir de C2.
Avec les mises à jour 5.3.9, 5.4.9 et 5.5.5, les vulnérabilités décrites par Kaspersky sont adressées. Passer à ces versions est la mesure la plus directe pour réduire le risque d’exploitation et limiter la capacité des attaquants à déployer PhantomCore.
Source: https://thehackernews.com/2026/08/head-mare-exploits-trueconf-flaws-to.html
