Un nuovo caso di attacco informatico mette sotto pressione la sicurezza dei server TrueConf, piattaforma di videoconferenza molto diffusa in ambito aziendale. Le campagne osservate in estate 2026 mostrano come un gruppo di minaccia abbia sfruttato vulnerabilita non corrette per compromettere TrueConf Server e trasformarlo in un punto di distribuzione malevolo, sostituendo gli installer legittimi del client con versioni infette capaci di installare PhantomCore, un backdoor e remote access trojan.
Il bersaglio principale e rappresentato da organizzazioni russe in settori come energia, trasporti, IT, elettronica e sviluppo software, con un impatto potenzialmente ampio dato l uso tipico di questi sistemi in reti interne.
Catena di exploit e escalation dei privilegi
La catena di exploit si basa su due falle che consentono esecuzione di codice con privilegi elevati. Gli attaccanti si collegano al server TrueConf tramite la porta TCP 4307, spesso aperta di default, quindi eseguono uno script malevolo. Inizialmente lo script opera in un ambiente isolato, ma una seconda vulnerabilita permette di evadere la sandbox e impartire comandi direttamente sull host. A questo punto e possibile ottenere privilegi NT AUTHORITY SYSTEM, uno dei livelli piu alti su Windows, e usare il controllo completo per modificare file e servizi.
Persistenza, web shell e supply chain interna
Per mantenere persistenza viene installata una web shell sostituendo un file dell applicazione, consentendo accesso remoto continuativo e attivita di ricognizione sull infrastruttura. Da qui l attacco evolve in una forma di supply chain interna: il server compromesso distribuisce ai dipendenti un installer TrueConf Client alterato che contiene PhantomCore.
Varianti collegate: PhantomGraph e canale C2 su cloud
In parallelo e stata documentata anche una variante collegata, PhantomGraph, composta da moduli DLL che ricevono comandi, eseguono istruzioni e inviano i risultati tramite storage cloud usato come canale di comando e controllo. La persistenza puo essere ottenuta registrando i moduli come servizi Windows tramite comandi PowerShell codificati, una tecnica utile a ridurre la visibilita per alcuni strumenti EDR.
Azioni post-compromissione e mitigazioni
Tra le azioni post compromissione figurano tunnel SSH reverse, raccolta di informazioni di sistema e tentativi di accesso a credenziali tramite dump della memoria del processo lsass.exe. La mitigazione piu efficace resta l aggiornamento: le versioni corrette di TrueConf Server sono state rilasciate a giugno 2026 e coprono i rami 5.3.9, 5.4.9 e 5.5.5. Per aumentare la sicurezza e consigliabile anche limitare l esposizione della porta 4307, monitorare modifiche ai file di distribuzione e verificare l integrita degli installer pubblicati.