Sicherheitsforscher von Kaspersky haben eine gezielte Kampagne der Hacktivisten-Gruppe Head Mare aufgedeckt, bei der Installationsprogramme der Kommunikationssoftware TrueConf mit Schadsoftware infiziert wurden. Die Angreifer nutzen dabei spezifische Sicherheitslücken in den Server-Strukturen aus, um legitime Client-Installer durch manipulierte Versionen zu ersetzen. In den betroffenen Installationsdateien wurden die Backdoors PhantomCore und PhantomGraph identifiziert, die den Akteuren einen weitreichenden Zugriff auf die Zielsysteme ermöglichen.
Die Entdeckung der Kampagne erfolgte im Juli 2026, nachdem Experten verdächtige Muster bei der Verteilung von Software-Updates analysiert hatten. Den Berichten zufolge zielen die Angriffe primär auf russische Organisationen ab, die in strategisch bedeutsamen Sektoren tätig sind. Hierzu gehören Unternehmen aus den Bereichen Instrumentierung, Elektronik, Transportwesen und Energieversorgung sowie Dienstleister aus der Informationstechnik und Softwareentwicklung.
Technischer Ablauf der Kompromittierung
Die von Head Mare genutzte Angriffskette ist komplex und umfasst mehrere Stadien. Zunächst verschaffen sich die Akteure unautorisierten Zugriff über den Port 4307/TCP. Durch das Ausnutzen von Schwachstellen gelingt ein sogenannter Sandbox-Escape, der es den Angreifern erlaubt, die isolierte Ausführungsumgebung zu verlassen. Im weiteren Verlauf setzen die Hacker eine Web-Shell ein und erlangen dadurch SYSTEM-Privilegien auf den betroffenen Servern.
Angriffe auf die IT-Infrastruktur, wie die Kompromittierung von Servern, zeigen die Notwendigkeit eines proaktiven Schutzes für Unternehmen. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Diese weitreichenden Berechtigungen nutzen die Hacktivisten, um die regulären Client-Installer der TrueConf-Software gegen trojanisierte Varianten auszutauschen. Sobald ein Nutzer den manipulierten Installer herunterlädt und ausführt, werden die Backdoors PhantomCore und PhantomGraph auf dem Endgerät installiert.
Besonderes Augenmerk legten die Analysten auf die Funktionsweise von PhantomGraph. Diese Schadsoftware nutzt den Cloud-Speicherdienst Microsoft OneDrive für ihre Command-and-Control-Kommunikation (C2). Durch die Verwendung eines legitimen Cloud-Dienstes versuchen die Angreifer, die Kommunikation mit ihren Steuerungs-Servern innerhalb des normalen Netzwerkverkehrs zu tarnen und so die Entdeckung durch Sicherheitssysteme zu erschweren.
Betroffene Versionen und verfügbare Patches
Die Sicherheitsforscher identifizierten zwei spezifische Schwachstellen mit den Kennungen KLCERT-26-057 und KLCERT-26-058 als Einfallstore für die Server-Manipulation. Von diesen Sicherheitslücken sind verschiedene Versionen des TrueConf-Servers betroffen. Konkret genannt werden die Iterationen:
- TrueConf-Versionen 5.3.x in allen Varianten vor 5.3.9
- TrueConf-Versionen 5.4.x in allen Varianten vor 5.4.9
- TrueConf-Versionen 5.5.x in allen Varianten vor 5.5.5
Das Unternehmen TrueConf hat auf die Bedrohung bereits reagiert. Entsprechende Sicherheits-Patches zur Schließung der Lücken wurden bereits am 18. Juni 2026 veröffentlicht. Organisationen, die die Software einsetzen, sollten dringend sicherstellen, dass ihre Server auf dem aktuellen Stand sind, um eine Ersetzung der Installer zu verhindern.
Da immer mehr Unternehmen Opfer von raffinierten Cyberangriffen werden, ist eine frühzeitige Sensibilisierung der Verantwortlichen entscheidend. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses E-Book zur Cyber Security jetzt abrufen
Zur weiteren Absicherung und Identifizierung bereits erfolgter Infektionen wurden verschiedene Indicators of Compromise (IoCs) zur Verfügung gestellt. Diese beinhalten spezifische MD5-Hashes der manipulierten Dateien sowie Domains, die von der Gruppe Head Mare im Rahmen dieser Kampagne genutzt werden. Sicherheitsverantwortliche in den betroffenen Branchen werden dazu angehalten, ihre Netzwerkknoten und Endpunkte auf diese Merkmale hin zu überprüfen.
