Il software di videoconferenza TrueConf è stato trasformato in un canale di distribuzione malware silenzioso. Almeno tre campagne distinte — con attribuzioni che spaziano da gruppi hacktivisti ucraini a threat actor cinesi — hanno compromesso server on-premise per sostituire gli installer client con versioni trojanizzate. La tecnica non richiede azione dell'utente: i client si connettono al server infetto e scaricano automaticamente l'aggiornamento malevolo.
- Kaspersky ha scoperto a luglio 2026 che il gruppo Head Mare ha compromesso server TrueConf esponendo TCP port 4307, sostituendo gli installer client con una backdoor denominata PhantomCore
- CVE-2026-3502 (CVSS 7.8, HIGH) documenta un difetto architetturale nel client TrueConf che applica aggiornamenti senza verificarne l'integrità, permettendo a un attaccante con controllo del server di distribuire codice arbitrario
- CISA ha inserito CVE-2026-3502 nel catalogo KEV il 2 aprile 2026, con deadline di patch obbligatoria per le agenzie federali USA fissata al 16 aprile 2026
- Il rischio si estende oltre le organizzazioni che ospitano server TrueConf: dipendenti che partecipano a riunioni su server di controparti compromesse possono installare inconsapevolmente backdoor sul proprio endpoint
Come funziona la catena di compromissione: dal server al client
L'attacco sfrutta una relazione di trust fondamentale: il client TrueConf si aggiorna automaticamente dal server on-premise a cui è connesso. Secondo il report di Kaspersky, i server vulnerabili esponevano TCP port 4307 aperta di default senza autenticazione. Da lì, gli attaccanti hanno sfruttato due vulnerabilità interne identificate come KLCERT-26-057 e KLCERT-26-058 per ottenere esecuzione di codice remoto con privilegi massimi e escape dalla sandbox.
Con privilegi NT AUTHORITY\SYSTEM, l'attaccante ha installato una web shell nel file locale.php per mantenere l'accesso persistente. La backdoor PhantomCore viene distribuita tramite installer client non firmato digitalmente: i client si connettono al server compromesso e ricevono l'aggiornamento infetto come parte del normale flusso operativo. Il dossier non specifica se gli installer originali TrueConf fossero firmati digitalmente.
Parallelamente, Kaspersky ha identificato PhantomGraph, una seconda backdoor che usa account Microsoft OneDrive per ricevere comandi, esfiltrare credenziali da LSASS e creare tunnel SSH inversi. Il meccanismo di distribuzione rimane identico: il server compromesso veicola il payload attraverso il canale di aggiornamento legittimo.
CVE-2026-3502: il difetto architetturale che abilita il supply-chain attack
Il record CVE-2026-3502, pubblicato dalla CNA Check Point, descrive con precisione il meccanismo che trasforma la compromissione del server in compromissione massiva dei client: "TrueConf Client downloads application update code and applies it without performing verification". Il punteggio CVSS 3.1 è 7.8 (HIGH), con vettore AV:A/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:L. Le versioni client affette sono quelle da 8.1.0 a 8.5.2; la correzione è disponibile nella versione 8.5.3.
Check Point ha riportato la campagna TrueChaos, attiva da marzo 2026, che sfrutta esattamente questo difetto per distribuire il framework Havoc C2. L'attribuzione è moderata a un threat actor cinese. La campagna Check Point e la campagna Head Mare scoperta da Kaspersky condividono lo stesso pattern tecnico — compromissione server per trojanizzazione client — ma il dossier non conferma che siano condotte dallo stesso gruppo.
La convergenza delle campagne: un pattern riconosciuto, un target strategico
La sovrapposizione temporale delle campagne indica che TrueConf è diventato un obiettivo sistematico. Positive Technologies ha documentato attività del gruppo PhantomCore (noto anche come Head Mare, Fairy Trickster, Rainbow Hyena, UNG0901) contro server TrueConf in Russia già da settembre 2025, con una catena di tre vulnerabilità BDU:2025-10114, BDU:2025-10115 e BDU-2025-10116. Queste ultime includevano un difetto di command injection con CVSS fino a 9.8 (CRITICAL).
I ricercatori Daniil Grigoryan e Georgy Khandozhko di Positive Technologies hanno dichiarato: "PhantomCore actively searches for vulnerabilities in domestic software, develops exploits, and thereby gains the ability to infiltrate a large number of Russian companies". Questa osservazione è rilevante per il quadro più ampio: il gruppo seleziona esplicitamente software con presunta "sovranità digitale" proprio perché rappresenta un vettore meno monitorato rispetto alle piattaforme occidentali.
Il dossier non stabilisce se le vulnerabilità KLCERT-26-057/058 siano state assegnate CVE ufficiali o siano distinte da CVE-2026-3502, né se le vulnerabilità BDU corrispondano alle stesse del report Kaspersky.
Il rischio oltre i propri confini: quando la controparte è il vettore
La natura distribuita di TrueConf — spesso installato on-premise da organizzazioni che partecipano a riunioni con partner esterni — crea una superficie di attacco che travalica i perimetri di rete tradizionali. Kaspersky ha evidenziato questo aspetto con una precisazione operativamente critica: anche le organizzazioni che non ospitano un server TrueConf sono esposte se i propri dipendenti si connettono a server di controparti compromesse.
"Even if your organization does not use the TrueConf server, employees of the organization can connect to compromised counterparty TrueConf servers to participate in online meetings and download infected installation packages" — Kaspersky (via BleepingComputer)
Check Point ha sottolineato la stessa dinamica: "The exploitation of CVE-2026-3502 did not require the attacker to compromise each endpoint individually. Instead, the attacker abused the trusted relationship between a central on-premises TrueConf server and its clients". Questa architettura centralizzata, priva di verifica crittografica dell'integrità, trasforma ogni server compromesso in un punto di distribuzione malware con raggio illimitato.
Cosa fare adesso
Verificare la versione server e client. TrueConf ha rilasciato patch per il server nelle versioni 5.3.9, 5.4.9 e 5.5.5 il 18 giugno 2026. Per il client, la versione corretta è la 8.5.3. Gli amministratori devono confermare che entrambi i componenti siano aggiornati oltre le soglie vulnerabili.
Isolare o monitorare TCP port 4307. La porta era aperta di default nei server vulnerabili senza autenticazione. Se non è possibile patchare immediatamente, limitarne l'esposizione alla rete interna e monitorare il traffico in entrata.
Controllare la presenza di web shell nel file locale.php. Il report Kaspersky identifica questo file come ubicazione della web shell installata dagli attaccanti per accesso persistente. Un controllo di integrità su questo specifico file è indicatore di compromissione.
Verificare il perimetro delle controparti. I team di sicurezza devono identificare quali partner o clienti utilizzino TrueConf e valutare se le connessioni dei dipendenti a server esterni siano giustificate o possano essere limitate fino a conferma di patching.
La lezione del caso TrueConf: la sovranità digitale senza supply-chain security è un miraggio
L'angolo geopolitico è inequivocabile. Multiple campagne, con motivazioni e attribuzioni diverse, hanno selezionato TrueConf nonostante — o forse proprio perché — rappresenta un'alternativa nazionale alle piattaforme occidentali. Il presunto vantaggio di sovranità si è tradotto in una concentrazione del rischio su un target meno scrutato, con meccanismi di aggiornamento che replicano errori classici di supply-chain security già documentati in software più diffusi.
Il caso solleva una questione strutturale per le organizzazioni che valutano migrazioni strategica da piattaforme globali a soluzioni nazionali: la verifica crittografica dell'integrità degli aggiornamenti non è un optional di sicurezza avanzata, ma un requisito fondamentale di architettura. La sua assenza in CVE-2026-3502, combinata con la facilità di compromissione server-side, ha creato una vulnerabilità sistemica che gli attaccanti hanno sfruttato in modo ripetuto e convergente.
Il dossier non specifica se il difetto di verifica integrità in CVE-2026-3502 sia stato completamente risolto nelle patch server di giugno 2026 o richieda anche aggiornamento client dedicato: gli amministratori devono trattare entrambi i componenti come potenzialmente indipendenti nel ciclo di remediation.
FAQ
D: Le patch server di giugno 2026 correggono anche CVE-2026-3502?
A: Il dossier non chiarisce questa sovrapposizione. Le patch server (5.3.9, 5.4.9, 5.5.5) risolvono le vulnerabilità KLCERT-26-057/058 usate per l'accesso iniziale, ma CVE-2026-3502 riguarda il meccanismo di aggiornamento client. Si raccomanda di aggiornare entrambi i componenti.
D: Gli installer trojanizzati richiedevano che l'utente accettasse manualmente l'aggiornamento?
A: No. Il client TrueConf applica gli aggiornamenti automaticamente dal server a cui è connesso. Il processo è completamente automatico e non richiede interazione dell'utente, come documentato sia da Kaspersky che da Check Point.
D: Head Mare e il threat actor dietro TrueChaos sono la stessa entità?
A: Il dossier non conferma questa sovrapposizione. Le attribuzioni sono diverse (hacktivisti ucraini vs threat actor cinese) con livelli di confidence variabili. Le campagne condividono il pattern tecnico ma potrebbero essere indipendenti.
Fonti
- https://www.bleepingcomputer.com/news/security/hackers-breach-trueconf-to-trojanize-client-installers-with-backdoors/
- https://thehackernews.com/2026/03/trueconf-zero-day-exploited-in-attacks.html
- https://thehackernews.com/2026/04/phantomcore-exploits-trueconf.html
- https://www.cve.org/CVERecord?id=CVE-2026-3502
- https://www.cisa.gov/news-events/alerts/2026/04/02/cisa-adds-one-known-exploited-vulnerability-catalog
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.