Ataque ao TrueConf: Hackers Inserem Backdoors em Instaladores de Clientes

O ataque do grupo hacktivista Head Mare à TrueConf expõe uma cadeia de exploração bem orquestrada. Tudo começou com acesso não autenticado na porta TCP 4307, aberta por padrão. A partir daí, os atacantes encadearam duas vulnerabilidades: a KLCERT-26-057, que permitiu a execução de um script malicioso no ambiente isolado da TrueConf, e a KLCERT-26-058, usada para escapar da sandbox e executar comandos diretamente no sistema operacional. Com privilégios elevados a NT AUTHORITY\SYSTEM, eles substituíram o arquivo `\public\js\locale.php` por um webshell, garantindo acesso remoto persistente.

Este acesso foi o ponto de partida para a implantação de duas backdoors. A primeira, PhantomCore, infectava os instaladores de clientes da TrueConf, que eram então baixados por usuários incautos. A segunda, PhantomGraph, composta por dois arquivos DLL (SysExcSvc.dll e SysReadSvc.dll), se comunicava via uma conta do Microsoft OneDrive para receber e executar comandos. Ela foi usada para coletar credenciais, com o despejo de memória do processo LSASS, realizar reconhecimento da rede e até mesmo estabelecer túneis SSH reversos. O objetivo final foi a exfiltração de dados sensíveis e o controle da infraestrutura comprometida.

Este incidente representa uma evolução preocupante na segurança da TrueConf. Em abril de 2026, a CheckPoint Research já havia alertado para a "Operation True Chaos", que explorava uma falha zero-day diferente (CVE-2026-3502) para comprometer usuários da TrueConf via atualizações trojanizadas. A principal diferença agora é a mudança nos agentes e nas vulnerabilidades exploradas: enquanto antes eram atribuídos a atores chineses, agora é o grupo Head Mare usando as falhas KLCERT-26-057 e KLCERT-26-058. A tática, porém, de envenenar instaladores para distribuir backdoors, continua sendo um método eficaz, mostrando um interesse persistente de atacantes em mirar nesta plataforma.

A invasão da TrueConf tem implicações sérias para a segurança corporativa, especialmente em setores críticos. A empresa é uma alternativa popular em setores governamentais e empresariais. Este ataque explora a cadeia de suprimentos de software, transformando uma ferramenta de comunicação confiável em um vetor de ataque para distribuição de backdoors como PhantomCore e PhantomGraph. Mesmo organizações que não usam diretamente a TrueConf correm risco se seus colaboradores se conectarem a servidores TrueConf de parceiros comprometidos. A urgência em aplicar as correções e a vigilância sobre a integridade de softwares baixados é crucial para evitar infecções generalizadas.