Mobile-Menu

Manipulierte Updates über Videokonferenzserver Head Mare verteilt Backdoors über trojanisierte TrueConf-Installer

Von Marvin Djondo-Pacham 2 min Lesedauer

Anbieter zum Thema

cidaas by Widas ID GmbH
sysob IT-Distribution GmbH & Co. KG
FTAPI Software GmbH

Die Hacktivistengruppe „Head Mare“ nutzt laut Kaspersky ungepatchte TrueConf-Server, um legitime Client-Installer durch manipulierte Versionen zu ersetzen. Über ein vermeintliches Update installieren die Angreifer die Backdoors PhantomCore und PhantomGraph.

Laut Kaspersky kompromittiert die Gruppe Head Mare ungepatchte TrueConf-Server, um legitime Client-Installer durch Versionen mit Backdoors zu ersetzen und diese als vermeintliche Updates an Nutzer zu verteilen.(Bild: KI-generiert)
Laut Kaspersky kompromittiert die Gruppe Head Mare ungepatchte TrueConf-Server, um legitime Client-Installer durch Versionen mit Backdoors zu ersetzen und diese als vermeintliche Updates an Nutzer zu verteilen.
(Bild: KI-generiert)

TrueConf ist eine On‑Premises‑Videokonferenzlösung, die vor allem in Russland bei Unternehmen und Behörden als Alternative zu westlichen Diensten wie Zoom oder Microsoft Teams eingesetzt wird. Nach Erkenntnissen von Kaspersky kompromittierte Head Mare verwundbare Server und nutzte sie anschließend, um Schadsoftware an die Nutzer der jeweiligen Organisation zu verteilen.

Die Angreifer der Hackergruppe „Head Mare“ sollen sich über den standardmäßig offenen TCP-Port 4307 ohne vorherige Authentifizierung mit den Servern verbunden haben. Zwei von Kaspersky als KLCERT-26-057 und KLCERT-26-058 bezeichnete Schwachstellen ermöglichten demnach zunächst die Ausführung eines Skripts innerhalb der isolierten TrueConf-Umgebung und anschließend den Ausbruch aus der Sandbox auf das zugrunde liegende Betriebssystem.

Webshell und System-Rechte

Nach dem Sandbox-Escape verschafften sich die Angreifer laut Kaspersky System-Rechte auf den betroffenen Windows-Servern. Anschließend hätten sie eine Datei im TrueConf-Verzeichnis durch eine Webshell ersetzt, die dauerhaften Fernzugriff auf das System ermöglicht habe. Über die Webshell sollen die Täter sensible Informationen aus der Umgebung gesammelt, auf die TrueConf-Datenbank zugegriffen und den legitimen TrueConf-Client‑Installer auf dem Server gegen eine manipulierte Variante ausgetauscht haben.

Beim Verbindungsaufbau mit dem lokalen TrueConf-Server hätten die Nutzer daraufhin ein nicht digital signiertes Installationspaket mit der Backdoor PhantomCore erhalten. Damit habe sich der Angriff von der Serverkompromittierung auf die Endgeräte der Organisation verlagert. Doch das Risiko beschränkt sich nicht auf Organisationen, die selbst einen TrueConf-Server betreiben. Mitarbeiter könnten sich auch mit kompromittierten TrueConf-Instanzen von Geschäftspartnern verbinden, um an Meetings teilzunehmen und dabei ein manipuliertes Installationspaket herunterladen.

Zusätzlich beobachtete Kaspersky den Einsatz der Backdoor PhantomGraph. Sie kommuniziert dem Bericht zufolge über ein Microsoft-OneDrive-Konto mit den Angreifern, führt Befehle aus und übermittelt Ergebnisse zurück. Zu den beobachteten Aktivitäten gehören das Auslesen von Zugangsdaten aus dem Speicher sowie Aufklärungsmaßnahmen im kompromittierten Netzwerk.

Updates seit Juni verfügbar

Betroffen sind TrueConf-Server der Reihen 5.3.x vor Version 5.3.9, 5.4.x vor Version 5.4.9 sowie 5.5.x vor Version 5.5.5. Der Hersteller veröffentlichte die korrigierten Versionen 5.3.9, 5.4.9 und 5.5.5 am 18. Juni.

Bereits im April war eine andere Angriffswelle gegen TrueConf bekannt geworden. Damals nutzten Angreifer eine Zero-Day-Schwachstelle mit der Kennung CVE-2026-3502, um manipulierte Client-Updates zu verteilen. Check Point hatte diese Kampagne als „Operation True Chaos“ bezeichnet und sie vorsichtig chinesischen Akteuren zugeschrieben.

(ID:50930393)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte