Основы Интернет - технологий.

Эксперты «Лаборатории Касперского» обнаружили, что группировка Head Mare вновь атакует российские организации. По данным исследователей, хакеры взламывают необновленные серверы TrueConf, после чего могут подменять легитимный установщик клиента и заражать участников видеоконференций бэкдором PhantomCore. Для компрометации TrueConf Server злоумышленники используют цепочку из двух уязвимостей, которым были присвоены внутренние идентификаторы KLCERT-26-057 и KLCERT-26-058. Эти проблемы затрагивали версии 5.3.X до 5.3.9, 5.4.X до 5.4.9, 5.5.X до 5.5.5, а также более ранние релизы. В настоящее время специалисты наблюдают несколько активных кампаний Head Mare, направленных на российские организации из сфер приборостроения, электроники, транспорта, энергетики, ИТ и разработки ПО. Как правило, атаки начинаются с того, что злоумышленники без аутентификации подключаются к серверу через порт 4307/TCP, открытый по умолчанию. Первый упомянутый выше баг позволяет передать на сервер вредоносный скрипт и запустить его в изолированной среде. С помощью второй уязвимости хакеры осуществляют побег из песочницы и получают возможность выполнять произвольный код с правами NT AUTHORITYYSTEM. После этого хакеры подменяют файл .publicjslocale.php собственным веб-шеллом, с помощью которого собирают информацию об инфраструктуре жертвы, получают привилегированный доступ к базе TrueConf, а также подменяют оригинальный дистрибутив TrueConf Client зараженной версией. Исследователи пишут, что с точки зрения пользователя все выглядит вполне легитимно: при подключении к скомпрометированному серверу участнику видеоконференции предлагают скачать «обновленную версию» клиента. На самом деле такой установщик содержит бэкдор PhantomCore. Кроме того, через веб-шелл злоумышленники разворачивают в системе жертвы еще один бэкдор, получивший название PhantomGraph. Он состоит из двух DLL-модулей: один получает команды через аккаунт в хранилище Microsoft OneDrive, а второй выполняет их на зараженной машине. Для закрепления в системе вредоносные компоненты регистрируются как службы Windows. Также исследователи полагают, что разделение малвари на два модуля должно дополнительно затруднить ее обнаружение средствами EDR. В отчете сообщается, что во время атак операторы PhantomGraph проводили разведку, собирали информации о системе и пользователе, делали дамп памяти процесса lsass.exe и запускали обратные SSH-туннели. Эксперты предостерегают, что такие атаки опасны не только для компаний с собственными уязвимыми серверами TrueConf: сотрудник любой организации может получить приглашение на совещание от контрагента, подключиться к уже взломанному серверу и самостоятельно скачать зараженный клиент. «Даже если компания не работает с этим решением, ее сотрудники могут подключаться к скомпрометированным серверам по приглашению контрагентов для участия в онлайн-совещаниях», — предупреждает руководитель Kaspersky ICS CERT Евгений Гончаров. Разработчики TrueConf исправили обе уязвимости еще 18 июня 2026 года с выходом TrueConf Server 5.3.9, 5.4.9 и 5.5.5. Специалисты рекомендуют как можно скорее установить актуальное обновление и проверить цифровые подписи клиентских дистрибутивов, так как обнаруженные зараженные установщики не имели действительной подписи.