Head Mare APTがTrueConf ServerのRCE脆弱性を悪用しPhantomCoreマルウェアを配布

Head Mare APTグループが、パッチ未適用のTrueConf Serverインスタンスを狙ったサプライチェーン侵害に関与していたことが判明しました。この攻撃により、ビデオ会議の参加者にPhantomCoreマルウェアが配布されていました。

Antivirus& Malware

Kasperskyの研究者は、ロシアの組織を狙った攻撃を調査する中でこの活動を特定しました。攻撃者は侵害済みのサーバー上に、一見正規に見えるTrueConfクライアントのインストーラーをホストし、会議アプリケーションと共に密かにリモートアクセス型マルウェアを展開していました。

Head Mare APTがTrueConf Serverを悪用

この侵入は、KLCERT-26-057およびKLCERT-26-058として追跡されているTrueConf Serverの2つの脆弱性を悪用しています。1つ目の脆弱性により、認証されていないリモートの攻撃者がデフォルトの4307/TCPサービス経由で接続し、非公開の機能を呼び出して悪意あるスクリプトを実行できます。

このスクリプトは当初、隔離された環境内で実行されますが、2つ目の脆弱性を悪用することで攻撃者はその環境から脱出し、Windowsサーバー上でNT AUTHORITY\SYSTEM権限で任意のコードを実行できるようになります。

Kasperskyの分析によると、2022年以降にリリースされたTrueConf Serverが影響を受けており、具体的にはバージョン5.3.9より前の5.3.x系、5.4.9より前の5.4.x系、5.5.5より前の5.5.x系が対象です。

SYSTEM権限でのコード実行に成功すると、攻撃者はC:\Program Files\TrueConf Server\httpconf\site\public\js\locale.phpにあるファイルを悪意あるWebシェルに置き換え、この攻撃に関連するTrueConfのイベントログエントリを削除して痕跡を消します。

このWebシェルにより、攻撃者は偵察活動、TrueConf Serverデータベースへの特権アクセス、リモートでのPowerShell実行が可能になります。

さらに脅威アクターは、サーバーのクライアント配布用ディレクトリにある正規のtrueconf_windows_client_x64.exeパッケージを差し替えることも可能で、これにより信頼された企業向けコラボレーションサービスが、実質的にマルウェア配布経路へと変貌します。

会議の参加者がミーティングに参加すると、TrueConfクライアントの新しいバージョンをダウンロードするよう促されます。トロイの木馬化されたインストーラーを実行すると、被害者は正規の会議クライアントをインストールする一方で、気付かないうちにPhantomCoreを%LOCALAPPDATA%\TrueConf\Client\api-ms-win-crt-time-l1-1-0-2.dllとして設置してしまいます。

PhantomCoreにより、攻撃者は任意のコマンドを実行し、侵害された端末を制御下に置くことができます。永続化は、悪意あるコンポーネントを指し示すレジストリキーHKCU\Software\Classes\CLSID\{0340F119-A598-4ed9-B0AC-6F6A12D3E755}\InprocServer32を通じて確立されます。

侵害されたWindowsサーバーでは、Head Mareは通信モジュールと実行モジュールから成る2部構成のバックドアを展開していました。

通信コンポーネントはMicrosoft OneDriveアカウントを介してタスクと結果をやり取りする一方、実行コンポーネントはコマンドを処理し結果を保存します。このマルウェアはSysExcSvcおよびSysReadSvcという2つのサービスを通じて永続化を確保しています。

Antivirus& Malware

報道によれば、このグループはこれを予備のコマンド&コントロール経路として扱っており、侵害後の活動は主にWebシェル経由で実行するPowerShellスクリプトに依存しているとのことです。

Kasperskyは、このキャンペーンで使用されたLinux向けのツール群も特定しています。Unix系のTrueConfホストでは、攻撃者はファイルを隠蔽し、TrueConfのネットワーク機能を傍受し、TrueConfプロトコル経由でコマンドを受信するよう設計されたバックドアをインストールしていました。

あるLinux向けバックドアはGitHubをコマンド&コントロールのチャネルとして利用しており、正規のオンラインプラットフォームを介して悪意あるトラフィックを通常の企業活動に紛れ込ませるという、このグループの戦略を裏付けています。

このリスクは、自社でTrueConfインフラを運用している組織だけにとどまりません。従業員が、侵害された取引先やパートナーのサーバーでホストされているミーティングに参加し、クライアントパッケージをダウンロードすることでも感染する可能性があります。

TrueConfは2026年6月18日に修正版をリリースし、バージョン5.3.9、5.4.9、5.5.5でアップデートを提供しています。各組織には直ちにアップグレードするよう推奨しています。

防御側は、露出しているサーバーにパッチを適用し、記載された侵害指標をエンドポイントおよびサーバー全体で検索し、最新の定義ファイルでフルスキャンを実施し、侵害の証拠が見つかった場合は露出した可能性のある認証情報をリセットする必要があります。

侵害指標(IOC)

注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化（defang）されています(例: [.])。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

調査の遅れによるインシデントを防ぎましょう。15,000のSOCが利用する脅威インテリジェンスでTier 1を強化: TI Lookupを自社のSOCに統合する