Wprowadzenie do problemu / definicja
Kompromitacja serwera komunikacyjnego może stać się punktem wyjścia do znacznie szerszego incydentu bezpieczeństwa. W opisywanej kampanii grupa Head Mare wykorzystuje podatności w TrueConf Server, aby przejąć kontrolę nad hostem, utrzymać trwały dostęp oraz podmienić legalne instalatory klienta na zainfekowane wersje zawierające malware PhantomCore.
To nie jest wyłącznie klasyczny przypadek zdalnego wykonania kodu. Atak łączy eksploatację luk z elementami wewnętrznego ataku na łańcuch dostaw, ponieważ przejęty serwer staje się źródłem dystrybucji złośliwego oprogramowania do zaufanych użytkowników końcowych.
W skrócie
- Atakujący wykorzystywali łańcuch dwóch podatności w niezałatanych instancjach TrueConf Server.
- Celem było uzyskanie zdalnego wykonania kodu z uprawnieniami SYSTEM.
- Po przejęciu serwera wdrażano web shell, prowadzono rozpoznanie i uzyskiwano dostęp uprzywilejowany do bazy TrueConf.
- Następnie podmieniano oryginalne instalatory klienta na wersje z malware PhantomCore.
- W kampanii obserwowano także komponent PhantomGraph, tunele SSH reverse oraz zrzuty pamięci procesu lsass.exe.
Kontekst / historia
Aktywność przypisywana grupie Head Mare wpisuje się w szerszy trend nadużywania serwerów aplikacyjnych jako punktu dystrybucji złośliwego oprogramowania. W takim modelu ataku serwer nie jest wyłącznie celem samym w sobie, lecz staje się platformą do dalszej infekcji użytkowników, administratorów i systemów zależnych.
To szczególnie niebezpieczny scenariusz w środowiskach, w których pracownicy pobierają klienta komunikatora bezpośrednio z serwera firmowego i domyślnie ufają integralności udostępnionych pakietów. Po przejęciu takiego systemu napastnicy mogą rozszerzać incydent poza warstwę infrastrukturalną, obejmując nim kolejne stacje robocze.
Analiza techniczna
Z dostępnych ustaleń wynika, że atak rozpoczynał się od połączenia z usługą TrueConf Server działającą na porcie TCP 4307. Operatorzy wykorzystywali pierwszą podatność do uruchomienia złośliwego skryptu na serwerze, a następnie drugą lukę do wyjścia z ograniczonego środowiska i wykonania dowolnych poleceń na systemie gospodarza.
Kluczowym etapem było uzyskanie wykonania kodu z uprawnieniami NT AUTHORITY\SYSTEM. Taki poziom dostępu pozwalał atakującym modyfikować pliki aplikacji, instalować mechanizmy trwałości i uzyskać pełną kontrolę nad usługą. Jednym z elementów utrzymania dostępu była podmiana pliku locale.php w katalogu publicznym na web shell.
Po ustanowieniu trwałości następowała faza rozpoznania. Napastnicy zbierali informacje o infrastrukturze, uzyskiwali uprzywilejowany dostęp do bazy danych TrueConf i przygotowywali podmianę legalnych instalatorów klienta. W praktyce oznaczało to, że każde kolejne urządzenie pobierające oprogramowanie z kompromitowanego serwera mogło zostać zainfekowane bez wyraźnych oznak manipulacji.
PhantomCore pełnił rolę backdoora i zdalnego narzędzia administracyjnego, umożliwiając sterowanie systemem ofiary. Badacze opisali również komponent PhantomGraph, wykazujący częściowe podobieństwo kodu do PhantomCore. Składał się on z dwóch bibliotek DLL: jedna odpowiadała za odbiór poleceń i eksfiltrację danych, druga za interpretację oraz wykonanie komend. Do komunikacji C2 wykorzystywano zasoby chmurowe, co mogło utrudniać detekcję opartą wyłącznie na prostym blokowaniu adresów.
W celu utrzymania obecności w środowisku operatorzy instalowali moduły jako usługi Windows, używając poleceń PowerShell zakodowanych w Base64. Dodatkowo odnotowano uruchamianie tuneli SSH reverse, wykonywanie zrzutów pamięci procesu lsass.exe oraz użycie podstawowych poleceń rozpoznawczych, takich jak hostname i whoami.
Podatne miały być starsze gałęzie TrueConf Server, w tym wersje 5.3.x do 5.3.9, 5.4.x do 5.4.9 oraz 5.5.x do 5.5.5 i wcześniejsze. Producent opublikował poprawki bezpieczeństwa 18 czerwca 2026 roku, co oznacza, że organizacje odkładające aktualizację pozostawały narażone na aktywne wykorzystanie luk.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem kampanii jest połączenie kompromitacji serwera z wtórną dystrybucją malware do klientów. Taki incydent może bardzo szybko rozszerzyć się z pojedynczego systemu infrastrukturalnego na wiele stacji roboczych oraz kont użytkowników.
Ryzyko obejmuje zarówno techniczne przejęcie zasobu, jak i utratę zaufania do wewnętrznych mechanizmów dystrybucji oprogramowania. Jeżeli organizacja nie stosuje walidacji integralności, kontroli podpisów kodu oraz monitoringu zmian w pakietach instalacyjnych, złośliwie podmienione pliki mogą pozostać niewykryte przez dłuższy czas.
- pełne przejęcie serwera aplikacyjnego,
- trwały zdalny dostęp przez web shell i usługi systemowe,
- kradzież poświadczeń poprzez analizę pamięci lsass.exe,
- rozpoznanie infrastruktury i ruch boczny,
- infekcję kolejnych endpointów przez podmienione instalatory,
- naruszenie integralności firmowego źródła oprogramowania.
Rekomendacje
Organizacje korzystające z TrueConf Server powinny w pierwszej kolejności potwierdzić wersję wdrożonego oprogramowania i niezwłocznie przeprowadzić aktualizację do wydań zawierających poprawki. Sam patching nie powinien jednak kończyć reakcji, ponieważ w środowiskach potencjalnie naruszonych niezbędne jest pełne dochodzenie powłamaniowe.
- zaktualizować TrueConf Server do wersji naprawionych przez producenta,
- sprawdzić ekspozycję portu 4307 i ograniczyć dostęp sieciowy do zaufanych segmentów,
- przeanalizować integralność plików aplikacji, zwłaszcza zasobów webowych i instalatorów klienta,
- zweryfikować, czy nie doszło do podmiany plików PHP, bibliotek DLL oraz usług systemowych,
- przejrzeć logi pod kątem nietypowych wywołań PowerShell, tuneli SSH reverse i prób dostępu do lsass.exe,
- przeprowadzić hunting pod kątem artefaktów PhantomCore i PhantomGraph,
- wymusić reset poświadczeń uprzywilejowanych, jeśli istnieje ryzyko ich przejęcia,
- odtworzyć zaufane pakiety instalacyjne z czystego źródła i ponownie je rozpowszechnić,
- wdrożyć monitoring integralności plików oraz podpisów binariów,
- rozważyć segmentację serwera komunikacyjnego od systemów administracyjnych i repozytoriów oprogramowania.
Z perspektywy długoterminowej serwery komunikacyjne powinny być traktowane jako systemy wysokiego ryzyka. W praktyce oznacza to stały monitoring, kontrolę zmian, rygorystyczne zarządzanie poprawkami oraz dodatkowe mechanizmy detekcji na poziomie hosta i sieci.
Podsumowanie
Kampania wymierzona w TrueConf Server pokazuje, jak szybko podatność w pojedynczej usłudze może przekształcić się w wewnętrzny atak supply chain. Head Mare nie ogranicza się do uzyskania dostępu do serwera, lecz wykorzystuje go do podmiany legalnego oprogramowania i dalszej infekcji ofiar. Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona systemów dystrybucji aplikacji, kontrola integralności i szybkie wdrażanie poprawek pozostają kluczowe dla ograniczenia skali incydentu.