ハッカーがTrueConfに侵入、クライアントインストーラーをトロイの木馬化しバックドアを仕込む

ハクティビスト集団「Head Mare」が、未パッチのTrueConfビデオ会議サーバーの脆弱性を悪用し、クライアントインストーラーをバックドア入りの悪意あるバージョンに置き換える攻撃を行っていることが分かりました。

悪用された脆弱性により、攻撃者は最高権限で任意のコードを実行し、PhantomCoreおよびPhantomGraphというバックドアを展開できる状態にありました。

TrueConfはロシアで広く使われているビデオ会議ツールで、特に企業・政府部門において、ZoomやMicrosoft Teamsといった西側製品に代わる、セキュアなオンプレミス型の代替ツールとして利用されています。

サイバーセキュリティ企業Kasperskyの研究者は、7月にこの攻撃を発見しました。Head Mareのハッカーたちは、デフォルトで開放されているTCPポート4307を使い、認証なしで標的のTrueConfサーバーに接続していたことが判明しています。

攻撃者は、Kaspersky社内でKLCERT-26-057として追跡されている脆弱性を悪用してTrueConfの隔離環境内で悪意あるスクリプトを実行し、さらにKLCERT-26-058を使ってサンドボックスから脱出し、基盤となるオペレーティングシステム上でコマンドを実行していました。

その後、攻撃者は権限をNT AUTHORITY\SYSTEMにまで昇格させ、「\public\js\locale.php」ファイルをウェブシェルに置き換えることで、侵害したサーバーへの永続的なリモートアクセスを確立しました。

Kasperskyの報告によると、Head Mareはこのウェブシェルを使って被害者環境から機密情報を収集し、TrueConfのデータベースにアクセスした上で、サーバー上でホストされている正規のTrueConfクライアントインストーラーを、PhantomCoreバックドアを含む悪意あるバージョンに置き換えていました。

組織のメンバーがローカルのTrueConfサーバーに接続すると、デジタル署名のない、トロイの木馬化されたクライアントインストーラーが更新プログラムとして配布される仕組みです。

「たとえ自組織がTrueConfサーバーを使用していなくても、その組織の従業員が侵害された取引先のTrueConfサーバーに接続してオンライン会議に参加し、感染したインストールパッケージをダウンロードしてしまう可能性があります」とKasperskyは警告しています。

さらにHead Mareは、PhantomGraphと呼ばれる別のバックドアも展開しています。これは2つのDLLファイル(SysExcSvc.dllとSysReadSvc.dll)で構成され、Microsoft OneDriveアカウント経由でコマンドを受け取り、実行結果を送り返す仕組みになっています。

PhantomGraphを通じて確認された攻撃者の活動には、認証情報を窃取する目的でLocal Security Authority Subsystem Service(LSASS)プロセスのメモリをダンプする行為が含まれていました。

このマルウェアはまた、hostnameやwhoamiといった偵察目的のコマンドを実行するほか、リバースSSHトンネルも開始します。

Kasperskyによれば、現在Head Mareによる複数の攻撃キャンペーンが進行中で、計測機器、電子機器、運輸、エネルギー、IT、ソフトウェア開発など、さまざまな分野のロシア企業・組織が標的になっているとのことです。

研究者によると、この脅威アクターはフィッシング、公開ウェブサーバーの脆弱性悪用、業務委託先経由のアクセスなど、複数の侵入手法を使い分けているといいます。

TrueConfの脆弱性

Kasperskyが攻撃で悪用を確認した2つの脆弱性は、TrueConf Serverの5.3.9より前の5.3.x系、5.4.9より前の5.4.x系、5.5.5より前の5.5.x系、およびそれ以前の旧バージョンに影響します。

ベンダーは6月18日にリリースしたバージョン5.3.9、5.4.9、5.5.5でこれらの脆弱性を修正しています。

2026年4月には、CheckPoint Researchが報告したところによると、ハッカーたちはTrueConfのゼロデイの任意ファイル実行脆弱性(CVE-2026-3502として追跡)を悪用し、トロイの木馬化されたクライアント更新プログラムを通じてユーザーを侵害していたとのことです。

CheckPointはこのキャンペーンを「Operation True Chaos」と命名し、これらの攻撃で使用されたHavocインプラントの背後にいる中国系脅威アクターの犯行である可能性が高いと暫定的に見ています。