Il gruppo APT Head Mare ha compromesso server TrueConf sfruttando una catena di due vulnerabilità zero-day, trasformando l'infrastruttura di videoconferenza in un distributore di malware per i partecipanti alle riunioni. L'attacco, rilevato nel luglio 2026, ha già visto il rilascio delle patch il 18 giugno 2026, ma espone un modello di minaccia finora trascurato: la sicurezza del partecipante dipende dalla compromissione del server remoto.
- Head Mare è stato riclassificato da hacktivista ad APT per la sofisticazione delle tattiche e l'assenza di attività distruttiva nelle infrastrutture target
- Due vulnerabilità zero-day interne KLCERT-26-057 e KLCERT-26-058 consentono RCE pre-auth via porta 4307/TCP e escape sandbox con privilegi SYSTEM
- Gli attaccanti sostituiscono gli installer client legittimi con versioni infette che distribuiscono i backdoor PhantomCore e PhantomGraph
- Il rischio riguarda anche organizzazioni che non utilizzano direttamente TrueConf Server ma si connettono a server di partner compromessi
Da hacktivismo a APT: la riclassificazione di Head Mare
Kaspersky Global Research and Analysis Team ha ridefinito Head Mare come gruppo APT, abbandonando la precedente classificazione di hacktivista. La fonte motiva questa riclassificazione con la sofisticazione delle tattiche, tecniche e procedure impiegate, unita all'assenza di attività distruttive quali cifratura o wiping nelle infrastrutture compromesse. Questa assenza di payload distruttivi distingue operativamente Head Mare da molti attori che operano nel medesimo teatro geopolitico.
Le campagne attive documentate dalla fonte hanno preso di mira organizzazioni russe in sei settori industriali: strumentazione, elettronica, trasporti, energia, IT e sviluppo software. Il passaggio dalla deface pubblica all'infiltrazione silenziosa segna un'evoluzione che richiede una rivalutazione del modello di minaccia associato a questo attore.
"we define them as an APT group due to the sophistication of their TTPs and the absence of destructive activity (encryption, wiping) in the targeted infrastructures" — Kaspersky Securelist
La kill chain a sei stadi: come si rompe la sandbox
L'attacco inizia con la connessione al server TrueConf senza autenticazione previa, sfruttando la porta 4307/TCP aperta di default. La prima vulnerabilità, KLCERT-26-057, consente l'esecuzione remota di script. Da questo accesso, gli attaccanti innescano la seconda vulnerabilità, KLCERT-26-058, che aggira le restrizioni dell'ambiente isolato per eseguire comandi nel contesto del sistema operativo con privilegi di NT AUTHORITY\SYSTEM.
L'architettura di sandboxing, progettata per contenere i danni di un'eventuale compromissione, viene così convertita in un punto di forza dell'attacco: la separazione di sicurezza diventa il meccanismo che, una volta violato, garantisce il massimo livello di accesso. Questo pattern di "security feature abuse" è particolarmente insidioso perché sfida le assumizioni su cui i team di difesa fondano le loro architetture.
Dopo l'escalation, gli attaccanti sostituiscono il file …\public\js\locale.php con una web shell per il controllo remoto persistente. Attraverso questa, raccolgono dati sull'infrastruttura IT, accedono con privilegi elevati al database TrueConf e procedono alla sostituzione dell'installer client con una versione contenente il backdoor PhantomCore.
PhantomCore e PhantomGraph: due backdoor, due funzioni
PhantomCore garantisce persistenza tramite una chiave di registro specifica: HKEY_CURRENT_USER\Software\Classes\CLSID\{0340F119-A598-4ed9-B0AC-6F6A12D3E755}\InprocServer32. Questo meccanismo di persistenza user-level, anziché system-wide, indica una progettazione attenta a evitare rilevamenti che monitorino modifiche alle aree di registro privilegiate.
PhantomCore opera in coppia con PhantomGraph, composto da due moduli dedicati. SysExcSvc.dll gestisce le comunicazioni con il server di comando e controllo, che la fonte identifica esplicitamente come un account di archiviazione cloud Microsoft OneDrive. SysReadSvc.dll esegue i comandi remoti ricevuti. Entrambi i moduli vengono installati come servizi Windows tramite comandi PowerShell codificati in Base64. La fonte documenta che gli attaccanti hanno deliberatamente suddiviso il comando malevolo in due componenti per rendere più difficile il rilevamento tramite strumenti EDR.
Gli stessi operatori hanno commesso errori di battitura e problemi di encoding in alcuni comandi, dettaglio che la fonte riporta senza interpretazione: questi errori potrebbero indicare pressione operativa, testing in produzione, o semplicemente la frequenza di attacchi che rende improbabile una preparazione perfetta per ogni singola compromissione.
Versioni affette e distribuzione del malware
Le versioni vulnerabili di TrueConf Server sono quelle delle famiglie 5.3.X fino alla 5.3.9, 5.4.X fino alla 5.4.9, e 5.5.X fino alla 5.5.5. Le patch rilasciate il 18 giugno 2026 correggono le vulnerabilità nelle versioni 5.3.9, 5.4.9 e 5.5.5. L'attacco è stato rilevato nel luglio 2026, configurando uno scenario in cui le patch erano disponibili ma non ancora applicate sui server compromessi.
Gli installer malevoli distribuiti agli utenti non dispongono di firma digitale valida TrueConf. Questo elemento, riportato dalla fonte, rappresenta un punto di controllo verificabile dagli utenti finali, sebbene la pratica di verifica della firma non sia standardizzata in molte organizzazioni. La compromissione del canale di distribuzione software trasforma un server di videoconferenza in un veicolo di supply-chain attack: il rischio non si limita ai proprietari del server, ma si estende a ogni partecipante che scarichi il client da un'istanza compromessa.
"Even if your organization does not use a TrueConf server, your employees may connect to compromised TrueConf servers belonging to business partners to participate in online meetings and download infected installation packages" — Kaspersky Securelist
Cosa fare adesso
Gli amministratori di TrueConf Server devono verificare l'installazione delle versioni patchate 5.3.9, 5.4.9 o 5.5.5 rilasciate il 18 giugno 2026. Le tre famiglie di versioni precedenti — 5.3.X-5.3.8, 5.4.X-5.4.8, 5.5.X-5.5.4 — rimangono vulnerabili alla catena di exploit documentata.
Per i partecipanti a videoconferenze su server di terzi, la fonte evidenzia un controllo praticabile: verificare la presenza della firma digitale TrueConf su ogni installer scaricato. Gli installer malevoli distribuiti nella campagna non possiedono tale firma. Questa verifica, sebbene non standardizzata nelle procedure di molte organizzazioni, costituisce l'unico filtro documentato a disposizione dell'utente finale.
I team di sicurezza devono monitorare la chiave di registro HKEY_CURRENT_USER\Software\Classes\CLSID\{0340F119-A598-4ed9-B0AC-6F6A12D3E755}\InprocServer32 per rilevare la persistenza di PhantomCore, e i nomi file SysExcSvc.dll e SysReadSvc.dll per identificare i moduli di PhantomGraph. La fonte non valuta la copertura delle firme EDR commerciali su questi indicatori.
Le organizzazioni che partecipano a videoconferenze su server di partner devono riconoscere che i controlli perimetrali interni — firewall, segmentazione di rete, EDR sugli endpoint — non intercettano questo vettore: il malware arriva tramite un canale di distribuzione legittimo apparente, da un'infrastruttura esterna fidata.
Limiti e contesto
Il dossier non documenta misure correttive specifiche per gli utenti finali oltre l'applicazione delle patch sui server propri. La fonte non specifica la natura dei dati esfiltrati nelle campagne rilevate, né fornisce un conteggio delle organizzazioni compromesse. Non emerge dalla documentazione disponibile se le vulnerabilità KLCERT-26-057 e KLCERT-26-058 riceveranno identificatori CVE pubblici, né se altri vendor di sicurezza abbiano rilevato indipendentemente la stessa campagna.
L'articolo di Kaspersky risulta troncato nella fonte fornita, con possibile impatto sulla completezza degli indicatori di compromissione e delle regole di detection. L'attribuzione geografica precisa di Head Mare non è dichiarata: la fonte non riporta sovrapposizioni infrastrutturali che colleghino il gruppo a un attore statalo specifico allo stato attuale. La data di pubblicazione del report originale (2022) è incoerente con il contenuto temporale dell'analisi (2026), elemento che la fonte non chiarisce e che costituisce un limite nella verificabilità esterna.
Lettura: quando il server partner è il nemico
Questo attacco evidenzia una asimmetria strutturale nella sicurezza delle comunicazioni aziendali. Le organizzazioni investono risorse nella protezione dei propri endpoint ma dipendono, per definizione, dall'infrastruttura altrui quando partecipano a videoconferenze esterne. La compromissione del server remoto annulla questa separazione: il partecipante leale diventa vettore involontario. La scelta di OneDrive come infrastruttura C2, invece di domini dedicati, aggiunge un ulteriore strato di mimetismo: il traffico verso servizi Microsoft legittimi è tra i meno sospetti in ambienti aziendali.
Domande frequenti
- Le patch rilasciate il 18 giugno 2026 proteggono anche da versioni precedenti vulnerabili?
- Secondo la fonte, le versioni 5.3.9, 5.4.9 e 5.5.5 contengono le correzioni. Le famiglie di versioni precedenti alla patch (5.3.X-5.3.8, 5.4.X-5.4.8, 5.5.X-5.5.4) rimangono vulnerabili se non aggiornate a queste release.
- Come si riconosce un installer TrueConf compromesso?
- La fonte riporta che gli installer malevoli non possiedono firma digitale valida TrueConf. Il dossier non documenta ulteriori indicatori visibili o comportamentali specifici.
- Possono gli utenti finali rilevare PhantomCore o PhantomGraph autonomamente?
- La fonte fornisce indicatori di compromissione specifici, inclusa la chiave di registro di PhantomCore e nomi file dei moduli PhantomGraph, ma non valuta la rilevabilità tramite strumenti consumer o la copertura delle firme EDR commerciali.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.