Die Hacktivistengruppe „Head Mare“ hat eine neue Angriffskette gegen die Videokonferenzlösung TrueConf gestartet: Über ungepatchte Server gelangen die Angreifer in interne Netze und verteilen dort manipulierte Client-Installer, die mit den Backdoors PhantomCore und PhantomGraph infiziert sind. Besonders brisant ist, dass die Kompromittierung bereits bei der Serververbindung beginnt – ohne dass Nutzer eine aktive Handlung setzen müssen.
Head Mare: TrueConf-Server als Einfallstor für Backdoor-Updates
TrueConf wird vor allem in russischen Unternehmen und Behörden als On-Premises-Alternative zu westlichen Diensten wie Zoom oder Microsoft Teams eingesetzt. Genau diese Verbreitung machen sich die Angreifer zunutze. Nach Erkenntnissen von Kaspersky haben die Angreifer verwundbare Server kompromittiert und anschließend dazu missbraucht, Schadsoftware an die Nutzer der betroffenen Organisationen zu verteilen. Die Kampagne zeigt eine besorgniserregende Entwicklung: Statt einzelner Endgeräte steht die Vertrauenskette der Softwareverteilung selbst im Visier.
So verlief der Einbruch in die Server
Die Angreifer verbanden sich über den standardmäßig offenen TCP-Port 4307 ohne vorherige Authentifizierung mit den verwundbaren TrueConf-Servern. Zwei Schwachstellen, die Kaspersky als KLCERT-26-057 und KLCERT-26-058 führt, ermöglichten dabei ein mehrstufiges Vorgehen: Zunächst führten die Angreifer ein Skript innerhalb der isolierten TrueConf-Umgebung aus. Anschließend gelang ihnen der Ausbruch aus der Sandbox auf das zugrunde liegende Betriebssystem der Windows-Server.
Nach dem Sandbox-Escape verschafften sich die Angreifer System-Rechte auf den betroffenen Servern. Eine Datei im TrueConf-Verzeichnis wurde durch eine Webshell ersetzt, die dauerhaften Fernzugriff sicherstellte. Über diesen Kanal sammelten die Täter sensible Informationen aus der Umgebung, griffen auf die TrueConf-Datenbank zu und tauschten schließlich den legitimen Client-Installer gegen eine manipulierte Variante aus. Damit hatten sie eine Position erreicht, von der aus sie jeden Nutzer der Plattform erreichen konnten.
Die Infektionskette bis zum Endgerät
Sobald sich ein Nutzer mit dem lokalen TrueConf-Server verbinden wollte, erhielt er ein nicht digital signiertes Installationspaket, das die Backdoor PhantomCore enthielt. Die Nutzer installierten die Datei in der Annahme, ein reguläres Update zu erhalten. Auf diese Weise verlagerte sich der Angriff von der reinen Serverkompromittierung auf alle Endgeräte der Organisation. Das Risiko bleibt jedoch nicht auf Unternehmen beschränkt, die selbst einen betroffenen Server betreiben: Auch Mitarbeiter, die sich mit kompromittierten TrueConf-Instanzen von Geschäftspartnern verbinden, um an Videokonferenzen teilzunehmen, können das manipulierte Installationspaket herunterladen und ausführen.
Zusätzlich beobachtete Kaspersky den Einsatz einer zweiten Backdoor namens PhantomGraph. Diese kommuniziert über ein Microsoft-OneDrive-Konto mit den Angreifern, führt entfernte Befehle aus und übermittelt die Ergebnisse zurück. Zu den bislang beobachteten Aktivitäten gehören das Auslesen von Zugangsdaten aus dem Speicher sowie umfassende Aufklärungsmaßnahmen im kompromittierten Netzwerk.
Was sind PhantomCore und PhantomGraph?
Bei PhantomCore handelt es sich um eine Hintertür, die über manipulierte Installationspakete verbreitet wird und den Angreifern persistenten Zugriff auf ein kompromittiertes System gewährt. PhantomGraph ergänzt diese Fähigkeit um eine Steuerung über legitime Cloud-Dienste, wodurch die Kommunikation mit der Angreifer-Infrastruktur schwerer zu erkennen ist. Beide Werkzeuge dienen nicht dem einmaligen Datendiebstahl, sondern dem dauerhaften Eindringen in die Netzwerkinfrastruktur.
Betroffene Versionen und verfügbare Updates
Die Schwachstellen betreffen mehrere TrueConf-Server-Versionen. Administratoren sollten die folgenden Versionen prüfen:
- TrueConf-Server 5.3.x vor Version 5.3.9
- TrueConf-Server 5.4.x vor Version 5.4.9
- TrueConf-Server 5.5.x vor Version 5.5.5
Der Hersteller hat die korrigierten Versionen 5.3.9, 5.4.9 und 5.5.5 bereits am 18. Juni veröffentlicht. Unternehmen, die TrueConf einsetzen, sollten diese Updates umgehend einspielen und prüfen, ob Anzeichen für eine Kompromittierung vorliegen. Auffällig sind insbesondere nicht signierte Installationspakete, unerwartete Webshells im TrueConf-Verzeichnis und Verbindungen zu unbekannten IP-Adressen.
Einordnung: Die zweite Angriffswelle auf TrueConf
Bereits im April war eine Angriffswelle gegen TrueConf bekannt geworden. Damals nutzten Angreifer eine Zero-Dayaa-Schwachstelle mit der Kennung CVE-2026-3502, um manipulierte Client-Updates zu verteilen. Check Point hatte diese Kampagne als „Operation True Chaos“ bezeichnet und sie vorsichtig Akteuren aus China zugeschrieben. Die nun dokumentierte Kampagne von Head Mare zeigt, dass die Videokonferenzplattform offenbar zu einem beliebten Ziel für unterschiedliche Bedrohungsakteure geworden ist.
Die Hintergründe der Gruppe Head Mare liegen im Umfeld pro-russischer Hacktivisten, die wiederholt Ziele in NATO-Staaten und der Ukraine angegriffen haben. Kaspersky wertet die aktuelle Kampagne als Teil einer strategischen Ausrichtung auf kritische Kommunikationsinfrastruktur: Wer die Softwareverteilung kontrolliert, kontrolliert nicht nur einzelne Systeme, sondern potenziell ganze Lieferketten. Für Organisationen außerhalb Russlands ist die Bedrohung vor allem durch geschäftliche Kontakte zu russischen Partnern oder durch den Betrieb von Tochtergesellschaften relevant.
Der Vorfall unterstreicht, wie wichtig ein ganzheitlicher Patch- und Update-Prozess ist. Die reine Aktualisierung der Server reicht nicht aus, solange kompromittierte Systeme legitime Installationsroutinen missbrauchen können. Unternehmen sollten TrueConf-Installationen daher nicht nur technisch absichern, sondern auch die Integrität von Update-Paketen durch digitale Signaturen und interne Prüfmechanismen sicherstellen. Angesichts der zunehmenden Angriffe auf Vertrauensketten wird dieser Aspekt zu einem zentralen Baustein der Unternehmenssicherheit.
