Trueconf

O grupo de cibercriminosos conhecido como Head Mare está novamente explorando falhas de segurança em servidores TrueConf não corrigidos, visando empresas russas em setores como eletrônicos, transporte e energia. A Kaspersky, empresa de cibersegurança, detectou essas atividades em julho de 2026. Os atacantes utilizam uma cadeia de vulnerabilidades, identificadas como KLCERT-26-057 e KLCERT-26-058, que permitem a execução de código arbitrário com privilégios elevados. O ataque começa com a conexão ao servidor TrueConf na porta TCP 4307, onde um script malicioso é executado, permitindo que os atacantes substituam instaladores legítimos do cliente TrueConf por versões infectadas que implantam o backdoor PhantomCore. Além disso, um shell web é instalado para acesso remoto persistente, coletando dados da infraestrutura de TI e acessando o banco de dados do TrueConf. As vulnerabilidades foram corrigidas nas versões mais recentes do servidor TrueConf, e as organizações são aconselhadas a atualizar para garantir proteção. Este não é o primeiro ataque do Head Mare, que já havia explorado outras falhas zero-day anteriormente. A situação destaca a crescente ameaça de grupos APT e a importância de manter sistemas atualizados.

O grupo hacktivista Head Mare tem explorado vulnerabilidades em servidores de videoconferência TrueConf não corrigidos, substituindo instaladores de clientes por versões maliciosas que implantam backdoors. As falhas permitiram que os atacantes executassem código arbitrário com altos privilégios, implantando os backdoors PhantomCore e PhantomGraph. O TrueConf é amplamente utilizado na Rússia, especialmente em setores empresariais e governamentais, como uma alternativa segura a ferramentas ocidentais como Zoom e Microsoft Teams. Pesquisadores da Kaspersky descobriram o ataque em julho, identificando que os hackers usaram a porta TCP 4307, que está aberta por padrão, para se conectar ao servidor TrueConf alvo sem autenticação. Eles exploraram vulnerabilidades específicas, permitindo a execução de scripts maliciosos e a substituição de arquivos críticos no servidor, resultando em acesso remoto persistente. O grupo também utiliza o PhantomGraph, que aceita comandos via uma conta do Microsoft OneDrive, permitindo atividades de reconhecimento e exfiltração de credenciais. A Kaspersky observa que várias campanhas ativas do Head Mare estão direcionadas a organizações russas em diversos setores, utilizando métodos de acesso inicial como phishing e exploração de servidores web expostos.

O grupo hacktivista pró-Ucrânia, conhecido como PhantomCore, tem sido responsável por uma série de ataques direcionados a servidores que utilizam o software de videoconferência TrueConf na Rússia desde setembro de 2025. Segundo um relatório da Positive Technologies, os atacantes exploraram uma cadeia de três vulnerabilidades, permitindo a execução remota de comandos em servidores vulneráveis. As falhas identificadas incluem uma vulnerabilidade de controle de acesso insuficiente (BDU:2025-10114), uma falha que permite a leitura de arquivos arbitrários (BDU:2025-10115) e uma vulnerabilidade de injeção de comandos com um alto índice de severidade (BDU-2025-10116). Apesar de os patches de segurança terem sido disponibilizados em agosto de 2025, os ataques começaram a ser detectados em setembro do mesmo ano. O grupo utiliza ferramentas sofisticadas para manter a furtividade e realizar operações em larga escala, incluindo a instalação de shells web maliciosos e a coleta de credenciais. Além disso, o PhantomCore tem se mostrado ativo na busca por vulnerabilidades em softwares domésticos, o que aumenta o risco para organizações russas. Este cenário destaca a necessidade de atenção redobrada por parte das empresas, especialmente aquelas que utilizam tecnologias semelhantes ao TrueConf.

Nesta semana, o cenário de cibersegurança foi marcado por incidentes significativos, incluindo o comprometimento do pacote npm Axios por hackers norte-coreanos, que introduziram uma versão maliciosa contendo o malware WAVESHAPER.V2. Este ataque destaca a vulnerabilidade de pacotes amplamente utilizados, que podem afetar rapidamente uma vasta gama de sistemas. Além disso, o Google lançou atualizações de segurança para o Chrome, corrigindo 21 vulnerabilidades, incluindo uma falha zero-day que já estava sendo explorada. Outro incidente relevante foi a exploração de uma vulnerabilidade zero-day no software de videoconferência TrueConf, que afetou entidades governamentais no Sudeste Asiático. A Fortinet também emitiu patches para uma falha crítica em seu FortiClient EMS, que estava sendo ativamente explorada. Por fim, a Apple expandiu a disponibilidade de correções para dispositivos mais antigos, visando proteger usuários contra o kit de exploração DarkSword. Esses eventos ressaltam a importância de monitorar e proteger ferramentas de desenvolvimento e dependências de software, uma vez que os atacantes estão cada vez mais focados em comprometer os processos de construção e distribuição de software.

Hackers têm atacado servidores de conferência TrueConf, explorando uma vulnerabilidade zero-day identificada como CVE-2026-3502, que permite a execução de arquivos arbitrários em todos os pontos finais conectados. A falha, classificada como de severidade média, resulta de uma verificação de integridade ausente no mecanismo de atualização do software, possibilitando que um invasor substitua uma atualização legítima por uma variante maliciosa. O TrueConf, utilizado por mais de 100 mil organizações, incluindo forças armadas e agências governamentais, é uma plataforma de videoconferência que pode ser hospedada localmente ou na nuvem. A campanha de ataques, denominada TrueChaos, tem como alvo entidades governamentais no Sudeste Asiático e é atribuída a um ator de ameaça com vínculos chineses. Os pesquisadores da CheckPoint identificaram que, ao obter controle do servidor TrueConf, um atacante pode distribuir arquivos maliciosos disfarçados de atualizações legítimas. A vulnerabilidade afeta as versões 8.1.0 a 8.5.2, e um patch foi disponibilizado na versão 8.5.3 em março de 2026. Os sinais de comprometimento incluem a presença de arquivos suspeitos e tráfego de rede associado a uma infraestrutura de comando e controle chamada Havoc.

Uma falha de segurança de alta gravidade foi identificada no software de videoconferência TrueConf, classificada como CVE-2026-3502, com um score CVSS de 7.8. Essa vulnerabilidade permite que atacantes distribuam atualizações maliciosas, resultando na execução de código arbitrário em sistemas vulneráveis. A falha foi explorada em uma campanha chamada TrueChaos, que visa entidades governamentais no Sudeste Asiático. A Check Point, empresa de cibersegurança, relatou que a vulnerabilidade se origina de uma verificação de integridade inadequada no mecanismo de atualização do TrueConf, permitindo que um servidor comprometido substitua pacotes de atualização legítimos por versões adulteradas. O ataque pode implantar o framework de comando e controle Havoc em pontos finais vulneráveis. A exploração dessa vulnerabilidade não requer a comprometimento de cada endpoint individualmente, mas sim a manipulação da relação de confiança entre o servidor TrueConf e seus clientes. A atualização para a versão 8.5.3 do TrueConf já corrige essa falha, mas a ameaça persiste, especialmente considerando a atribuição do ataque a um ator de ameaça com vínculos chineses.