Hackers sfruttano vulnerabilità TrueConf per installare backdoor nei client

Il gruppo di hacktivisti Head Mare ha sfruttato vulnerabilità non patchate nei server di TrueConf per sostituire i pacchetti di installazione client con versioni maliziose che contengono backdoor. L’attacco, scoperto da Kaspersky a luglio, ha permesso agli hacker di accedere a dati sensibili, modificare il database di TrueConf e installare il backdoor PhantomCore. L’attacco ha colpito organizzazioni russe in diversi settori, tra cui energia, trasporti e IT. Kaspersky ha rilasciato patch per le vulnerabilità in versioni 5.3.9, 5.4.9 e 5.5.5, pubblicate il 18 giugno.

TrueConf, strumento di videoconferenza utilizzato in Russia

TrueConf è un software di videoconferenza utilizzato in Russia, soprattutto nel settore aziendale e governativo, come alternativa sicura a strumenti occidentali come Zoom e Microsoft Teams. La sua popolarità ha reso il sistema un bersaglio per attacchi informatici. Kaspersky ha rilevato che le vulnerabilità sfruttate dagli hacker permettevano l’esecuzione di script malevoli e l’accesso non autorizzato al sistema. L’attacco ha sfruttato porte TCP aperte e vulnerabilità interne, come KLCERT-26-057 e KLCERT-26-058, per ottenere accesso remoto e installare backdoor.

Backdoor PhantomCore e PhantomGraph

Il gruppo Head Mare ha utilizzato due backdoor principali: PhantomCore e PhantomGraph. Il primo è stato installato sostituendo il pacchetto di installazione client con una versione maliziosa, mentre il secondo è stato deployato attraverso due DLL che accettano comandi via Microsoft OneDrive. L’attacco ha incluso l’estrazione di credenziali tramite il processo LSASS e l’installazione di tunnel SSH inversi. Kaspersky ha segnalato che l’attacco è stato attribuito a attori cinesi, connessi al malware Havoc. Le vulnerabilità sfruttate riguardano le versioni precedenti a 5.3.9, 5.4.9 e 5.5.5 del server TrueConf. Kaspersky ha rilasciato patch per correggerle, ma molti sistemi non sono ancora aggiornati. L’attacco ha colpito organizzazioni in diversi settori, tra cui elettronica, trasporti e software. Kaspersky ha avvertito che anche le aziende non utilizzatrici del server TrueConf potrebbero essere colpite se i dipendenti si connettono a server compromessi.

Il whitepaper di Picus mostra come i test di simulazione di attacchi possano aiutare a rilevare minacce non rilevate dai sistemi di rilevamento. Kaspersky ha segnalato che il 54% degli attacchi riusciti non è stato rilevato dai sistemi di sicurezza, mentre solo il 14% ha generato allerta. L’importanza di testare ogni livello di sicurezza prima che gli attacchi possano danneggiare i sistemi è quindi cruciale. La situazione evidenzia la necessità di aggiornamenti regolari e di misure di sicurezza avanzate per proteggere i sistemi informatici.