米国のサイバーセキュリティ機関CISAは木曜日、脅威アクターがTrueConfの2件の脆弱性を悪用していると連邦機関に警告しました。
TrueConfは安全なオンプレミス型ビデオ会議プラットフォームで、Scalable Video Coding(SVC)技術を用い、専用の企業サーバーを介してクライアントアプリケーション同士を接続します。
2022年以降のすべてのTrueConf Serverバージョンには、攻撃者が任意のコードを実行できる深刻度クリティカルの脆弱性2件、CVE-2026-72529とCVE-2026-72530が存在します。
この2つの脆弱性は、ポート4307/TCP経由でTrueConfサーバーにアクセスできるリモート攻撃者によって悪用される可能性があります。CVE-2026-72529は、攻撃者が文書化されていない関数を呼び出して任意のスクリプトを実行できる脆弱性で、CVE-2026-72530は、隔離環境からの脱出を可能にし、ホストシステム上でスクリプトを実行できる脆弱性です。
悪用されているこれらの脆弱性は、2026年6月に対処され、TrueConf Serverのバージョン5.3.9、5.4.9、5.5.5で修正されています。
木曜日、CISAは両脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦機関に対して前者は3日以内、後者は2週間以内にパッチを適用するよう求めました。
CISAは観測された悪用の詳細を公表していませんが、今月初め、Kasperskyはハクティビスト集団Head Mareがこれらの脆弱性を悪用し、PhantomCoreマルウェアを展開していると警告していました。
Head Mareは少なくとも2023年から活動しており、ロシアとベラルーシの組織を標的に破壊的な攻撃を行ってきました。同グループはファイル暗号化型マルウェアを展開し、被害者に身代金を要求する様子が確認されていますが、金銭目的の集団ではないとみられています。
Kasperskyが調査した攻撃では、ハッカーがCVE-2026-72529とCVE-2026-72530を悪用して組織のTrueConfサーバーを侵害し、サーバー内のファイルの1つをWebシェルに置き換えていました。
「このWebシェルは、その後、攻撃対象組織のITインフラに関する情報収集、TrueConf Serverデータベースへの特権アクセスの取得、正規のクライアントインストーラーの置き換えに使用されます」とKasperskyは述べています。
脅威アクターは、悪意のあるTrueConfクライアントインストーラーをサーバー上に設置しました。これが従業員のシステム上で実行されると、Head Mareの侵入活動で一般的に確認されるマルウェア、PhantomCoreがインストールされる仕組みです。
さらに攻撃者は、TrueConfを稼働させている*nixサーバーにバックドアを1つ、別の*nixシステムにもう1つのバックドアを設置しました。前者はコマンド&コントロール(C&C)通信にTrueConfプロトコルを使用し、後者はGitHubを使用します。
TrueConfサーバーの管理者には、修正済みバージョンへのアップデート、侵害の痕跡(IoC)の環境内スキャン、悪意のあるアーティファクトのスキャン、そして侵入が検知された場合は影響を受けた可能性のあるすべてのアカウントの認証情報のローテーションが推奨されています。
翻訳元: https://www.securityweek.com/cisa-urges-immediate-patching-of-exploited-trueconf-vulnerabilities/
