El grupo hacktivista Head Mare ha explotado vulnerabilidades en servidores de videoconferencia TrueConf para reemplazar los instaladores legítimos por versiones maliciosas con puertas traseras (backdoors). Mediante el uso de scripts y web shells, los atacantes logran privilegios máximos para exfiltrar credenciales y datos sensibles de organizaciones rusas. Kaspersky recomienda actualizar a las versiones más recientes para mitigar estos riesgos.





El grupo hacktivista Head Mare ha estado explotando vulnerabilidades en servidores de videoconferencia TrueConf sin parchear para sustituir los instaladores de clientes por versiones maliciosas que instalan puertas traseras.

Las vulnerabilidades explotadas permitieron al atacante ejecutar código arbitrario con el nivel más alto de privilegios y desplegar las puertas traseras PhantomCore y PhantomGraph.

TrueConf es una herramienta de videoconferencia ampliamente utilizada en Rusia, especialmente en los sectores empresarial y gubernamental, como una alternativa segura y local a herramientas occidentales como Zoom y Microsoft Teams.


Investigadores de la empresa de ciberseguridad Kaspersky descubrieron el ataque en julio. Encontraron que los hackers de Head Mare utilizaron el puerto TCP 4307, que está abierto por defecto, para conectarse al servidor TrueConf objetivo sin autenticación.

Aprovecharon una vulnerabilidad rastreada internamente por Kaspersky como KLCERT-26-057 para ejecutar un script malicioso dentro del entorno aislado de TrueConf, y la KLCERT-26-058 para escapar del sandbox y ejecutar comandos en el sistema operativo subyacente.

Posteriormente, el atacante elevó sus privilegios a NT AUTHORITY\SYSTEM y sustituyó el archivo ‘\public\js\locale.php’ por una web shell que les otorgó acceso remoto persistente al servidor comprometido.

Kaspersky informa que Head Mare utiliza una web shell para recopilar información sensible del entorno de la víctima, acceder a la base de datos de TrueConf y sustituir el instalador legítimo del cliente TrueConf alojado en el servidor por una versión maliciosa que contiene la puerta trasera PhantomCore.

Cuando los miembros de la organización se conectan al servidor local de TrueConf, reciben un instalador de cliente trojanizado y sin firma digital como actualización.

“Incluso si su organización no utiliza el servidor TrueConf, los empleados pueden conectarse a servidores de contrapartes comprometidos para participar en reuniones en línea y descargar paquetes de instalación infectados”, advierte Kaspersky [enlace].

Además, Head Mare despliega PhantomGraph, una puerta trasera independiente compuesta por dos archivos DLL (SysExcSvc.dll y SysReadSvc.dll) que aceptan comandos a través de una cuenta de Microsoft OneDrive, los ejecutan y devuelven los resultados.

La actividad observada del atacante a través de PhantomGraph incluyó el volcado de la memoria del proceso Local Security Authority Subsystem Service (LSASS) para exfiltrar credenciales.

El malware también ejecuta comandos para actividades de reconocimiento, como hostname y whoami, e inicia un túnel SSH inverso.

Kaspersky afirma que actualmente observa múltiples campañas activas de Head Mare dirigidas a organizaciones rusas en diversos sectores: instrumentación, electrónica, transporte, energía, TI y desarrollo de software.

Según los investigadores, el actor de la amenaza utiliza varios métodos de acceso inicial que incluyen phishing, explotación de servidores web expuestos y acceso a través de contratistas.

Vulnerabilidades de trueconf

Los dos fallos que Kaspersky vio aprovechados en los ataques afectan a TrueConf Server 5.3.x antes de 5.3.9, 5.4.x antes de 5.4.9, 5.5.x antes de 5.5.5 y versiones anteriores.

El proveedor las corrigió en las versiones 5.3.9, 5.4.9 y 5.5.5, publicadas el 18 de junio.

En abril de 2026, CheckPoint Research informó que los hackers estaban dirigiéndose a un fallo de ejecución de archivos arbitrarios de día cero en TrueConf, rastreado como CVE-2026-3502, comprometiendo a los usuarios a través de actualizaciones de cliente trojanizadas.

CheckPoint nombró la campaña ‘Operation True Chaos’ y la atribuyó provisionalmente a actores de amenazas chinos detrás del implante Havoc, que fue utilizado en estos ataques.

Fuente:
BleepingComputer