Die Hacktivistengruppe \u201eHead Mare\u201c hat eine neue Angriffskette gegen die Videokonferenzl\u00f6sung TrueConf gestartet: \u00dcber ungepatchte Server gelangen die Angreifer in interne Netze und verteilen dort manipulierte Client-Installer, die mit den Backdoors PhantomCore und PhantomGraph infiziert sind. Besonders brisant ist, dass die Kompromittierung bereits bei der Serververbindung beginnt \u2013 ohne dass Nutzer eine aktive Handlung setzen m\u00fcssen.<\/p>\n
TrueConf wird vor allem in russischen Unternehmen und Beh\u00f6rden als On-Premises-Alternative zu westlichen Diensten wie Zoom oder Microsoft Teams<\/a> eingesetzt. Genau diese Verbreitung machen sich die Angreifer zunutze. Nach Erkenntnissen von Kaspersky haben die Angreifer verwundbare Server kompromittiert und anschlie\u00dfend dazu missbraucht, Schadsoftware an die Nutzer der betroffenen Organisationen zu verteilen. Die Kampagne zeigt eine besorgniserregende Entwicklung: Statt einzelner Endger\u00e4te steht die Vertrauenskette der Softwareverteilung selbst im Visier.<\/p>\n Die Angreifer verbanden sich \u00fcber den standardm\u00e4\u00dfig offenen TCP-Port 4307 ohne vorherige Authentifizierung mit den verwundbaren TrueConf-Servern. Zwei Schwachstellen, die Kaspersky als KLCERT-26-057<\/strong> und KLCERT-26-058<\/strong> f\u00fchrt, erm\u00f6glichten dabei ein mehrstufiges Vorgehen: Zun\u00e4chst f\u00fchrten die Angreifer ein Skript innerhalb der isolierten TrueConf-Umgebung aus. Anschlie\u00dfend gelang ihnen der Ausbruch aus der Sandbox auf das zugrunde liegende Betriebssystem der Windows-Server.<\/p>\n Nach dem Sandbox-Escape verschafften sich die Angreifer System-Rechte<\/a> auf den betroffenen Servern. Eine Datei im TrueConf-Verzeichnis wurde durch eine Webshell ersetzt, die dauerhaften Fernzugriff sicherstellte. \u00dcber diesen Kanal sammelten die T\u00e4ter sensible Informationen aus der Umgebung, griffen auf die TrueConf-Datenbank zu und tauschten schlie\u00dflich den legitimen Client-Installer gegen eine manipulierte Variante aus. Damit hatten sie eine Position erreicht, von der aus sie jeden Nutzer der Plattform erreichen konnten.<\/p>\n Sobald sich ein Nutzer mit dem lokalen TrueConf-Server verbinden wollte, erhielt er ein nicht digital signiertes Installationspaket, das die Backdoor PhantomCore<\/strong> enthielt. Die Nutzer installierten die Datei in der Annahme, ein regul\u00e4res Update zu erhalten. Auf diese Weise verlagerte sich der Angriff von der reinen Serverkompromittierung auf alle Endger\u00e4te der Organisation. Das Risiko bleibt jedoch nicht auf Unternehmen beschr\u00e4nkt, die selbst einen betroffenen Server betreiben: Auch Mitarbeiter, die sich mit kompromittierten TrueConf-Instanzen von Gesch\u00e4ftspartnern verbinden, um an Videokonferenzen teilzunehmen, k\u00f6nnen das manipulierte Installationspaket herunterladen und ausf\u00fchren.<\/p>\nSo verlief der Einbruch in die Server<\/h3>\n
Die Infektionskette bis zum Endger\u00e4t<\/h3>\n