Un gruppo hacktivista ha sfruttato vulnerabilità nei server TrueConf non aggiornati per sostituire i file di installazione con versioni trojanizzate, colpendo aziende russe e aumentando i rischi anche per chi si collega a server di terzi
Un attacco informatico mirato ha colpito i server TrueConf, piattaforma di videoconferenza molto diffusa in Russia, soprattutto tra aziende e pubbliche amministrazioni che cercano alternative locali a Zoom e Microsoft Teams. Il gruppo hacktivista Head Mare ha sfruttato vulnerabilità non corrette nei server TrueConf per sostituire i file di installazione dei client con versioni infette, in grado di installare backdoor e compromettere la sicurezza degli utenti.
Secondo quanto scoperto dai ricercatori di Kaspersky, l’attacco è stato individuato a luglio e ha permesso agli aggressori di ottenere il massimo livello di privilegi sui server compromessi. Utilizzando la porta TCP 4307, aperta di default, e due vulnerabilità identificate come KLCERT-26-057 e KLCERT-26-058, Head Mare ha potuto eseguire codice arbitrario, installare web shell persistenti e accedere ai dati sensibili delle organizzazioni bersaglio.
Come avviene la compromissione dei client TrueConf
Una volta ottenuto il controllo del server, gli attaccanti hanno sostituito il file di installazione del client TrueConf con una versione trojanizzata contenente il malware PhantomCore. Gli utenti che si collegano al server locale per scaricare aggiornamenti ricevono così un installer non firmato digitalmente e infetto. Kaspersky sottolinea che il rischio non riguarda solo chi gestisce un proprio server TrueConf: anche chi partecipa a riunioni su server di partner o fornitori compromessi può scaricare involontariamente il software malevolo.
Oltre a PhantomCore, Head Mare distribuisce anche PhantomGraph, un altro backdoor composto da due DLL che riceve comandi tramite un account Microsoft OneDrive e consente agli attaccanti di eseguire operazioni di ricognizione, esfiltrare credenziali e stabilire tunnel SSH inversi. Tra le attività osservate figurano il dump della memoria del processo LSASS per il furto di credenziali e la raccolta di informazioni sull’ambiente della vittima.
Settori colpiti e tecniche di attacco
Le campagne attive di Head Mare, secondo Kaspersky, stanno prendendo di mira organizzazioni russe in settori come strumentazione, elettronica, trasporti, energia, IT e sviluppo software. Gli attaccanti utilizzano diversi vettori di accesso iniziale: phishing, sfruttamento di server web esposti e accesso tramite fornitori terzi o contractor.
Le vulnerabilità sfruttate riguardano le versioni TrueConf Server 5.3.x precedenti alla 5.3.9, 5.4.x precedenti alla 5.4.9, 5.5.x precedenti alla 5.5.5 e tutte le versioni più vecchie. Le patch correttive sono state rilasciate dal vendor il 18 giugno con le versioni 5.3.9, 5.4.9 e 5.5.5.
Precedenti e rischi per chi usa TrueConf
Non è la prima volta che TrueConf finisce nel mirino: ad aprile 2026, CheckPoint Research aveva segnalato una campagna chiamata “Operation True Chaos”, attribuita a gruppi cinesi, che sfruttava una vulnerabilità zero-day (CVE-2026-3502) per distribuire installer trojanizzati tramite aggiornamenti client. In quel caso era stato utilizzato l’impianto Havoc.
La vicenda evidenzia come la sicurezza delle piattaforme di videoconferenza on-premise dipenda dalla tempestività nell’applicare aggiornamenti e patch. Anche chi non gestisce direttamente un server TrueConf può essere esposto se si collega a server di terzi compromessi, una situazione che richiede attenzione sia da parte dei responsabili IT sia degli utenti finali.
Le campagne di Head Mare mostrano come la catena di fornitura digitale possa diventare un punto debole anche per chi adotta soluzioni considerate più sicure perché locali o autonome rispetto ai servizi cloud occidentali. La presenza di installer infetti distribuiti da server apparentemente affidabili rende fondamentale verificare sempre la provenienza e la firma digitale dei software scaricati, oltre a mantenere aggiornati tutti i sistemi coinvolti.
