高度標的型攻撃(APT)グループ「Head Mare」が、未パッチのTrueConf Serverインスタンスを悪用し、ビデオ会議の参加者にバックドア「PhantomCore」を配布していることが分かりました。
この攻撃キャンペーンは、侵害された企業向けコラボレーションサーバーをマルウェア配布インフラへと変貌させるもので、TrueConfの管理者だけでなく、ホストされた会議に参加してクライアントアプリケーションをダウンロードする従業員や契約者にもリスクをもたらします。
Kasperskyは、ロシアの組織を標的とした攻撃を調査する過程でこの活動を発見しました。攻撃者はTrueConfサーバーを侵害し、正規のWindows x64クライアント配布ファイルをトロイの木馬化したインストーラーに差し替えていました。
会議参加者が会議ゲストページにアクセスすると、TrueConfクライアントのダウンロードまたは更新を促されます。改変されたパッケージは想定通りに会議ソフトウェアをインストールするため疑念を抱かれにくい一方で、被害者のワークステーションにPhantomCoreを展開します。
この侵入の手口は、KLCERT-26-057およびKLCERT-26-058として追跡されている2つの脆弱性に依存しています。1つ目の脆弱性は、未認証の攻撃者がTrueConf Serverでデフォルトで開放されているTCPポート4307経由で接続し、非公開の関数を呼び出して悪意あるスクリプトを実行できるというものです。
Kasperskyによると、この問題は5.3.X、5.4.X、5.5.Xの各系列で、それぞれバージョン5.3.9、5.4.9、5.5.5より前のリリースに影響します。また研究者らは、2022年以降にリリースされたTrueConf Serverのバージョンが脆弱であったことも確認しています。
最初のスクリプトは、ioやosといった危険性の高いライブラリの使用を制限する隔離環境内で実行されますが、Head Mareは2つ目の脆弱性を連鎖させることでこの制御を回避します。
これにより、影響を受けるWindowsサーバー上でNT AUTHORITY\SYSTEM権限による任意コード実行が可能になります。この権限を得た攻撃者は、C:\Program Files\TrueConf Server\httpconf\site\public\js\locale.phpを悪意あるWebシェルに置き換え、悪用活動に関連するイベントログの記録を削除します。
このWebシェルにより、インフラの偵察、TrueConf Serverデータベースへの特権アクセス、リモートPowerShellの実行、そしてC:\Program Files\TrueConf Server\ClientInstFiles\trueconf_windows_client_x64.exeに格納されたクライアントインストーラーの差し替えが可能になります。
同グループはさらに、通信モジュールと実行モジュールで構成される予備のバックドアもインストールします。これらのコンポーネントはMicrosoft OneDriveアカウントを通じて通信を行い、SysExcSvcとSysReadSvcという名前の永続化サービスを作成します。
Unix系サーバーでは、Head MareはTrueConfのネットワーク関数を横取りし、TrueConfプロトコル経由でオペレーターのコマンドを受信するバックドアなど、別のインプラントを展開します。
Kasperskyはまた、GitHubをコマンド&コントロール(C2)インフラとして利用するLinux向けバックドアも確認しており、正規サービスを悪用して不正な通信を隠蔽する同グループの手口を示しています。
感染したWindowsインストーラーは、PhantomCoreを%LOCALAPPDATA%\TrueConf\Client\api-ms-win-crt-time-l1-1-0-2.dllに投下します。
このマルウェアは任意のコマンド実行機能を備え、レジストリのHKCU\Software\Classes\CLSID\{0340F119-A598-4ed9-B0AC-6F6A12D3E755}\InprocServer32を通じて永続化を図ります。
TrueConfは2026年6月18日、セキュリティ更新版5.3.9、5.4.9、5.5.5をリリースし、管理者に対して直ちにアップグレードするよう呼びかけています。各組織は、Kasperskyが公開したハッシュ値、不審なサービス、改ざんされたlocale.phpファイル、想定外のPowerShell活動などを調査すべきです。
また、企業は流出の可能性がある認証情報のローテーション、最新のセキュリティツールによるサーバーおよびエンドポイントのスキャンを実施するとともに、外部でホストされているTrueConf会議のダウンロードについては、検証されるまで安全でないものとして扱うべきです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/head-mare-exploits-trueconf-flaws/
