TrueConf Serverの脆弱性を悪用したインストーラー改ざん攻撃が判明、ロシア企業を標的にバックドアを配布
要点
- 脅威アクター「Head Mare」が、ビデオ会議サーバー「TrueConf Server」の複数の脆弱性を突いてクライアントインストーラーを改ざんする攻撃を実行した。
- 攻撃者はサーバーを侵害してWebシェルを設置し、正規の配布ファイルをバックドア「PhantomCore」を含む悪意あるファイルへ差し替えていた。
- 遠隔操作ツール「PhantomGraph」を展開し、検知を逃れるため機能を2つのDLLに分割した上で、C2通信にMicrosoft OneDriveを悪用していた。
- 影響を受ける脆弱性は2026年6月18日リリースのバージョン（5.3.9、5.4.9、5.5.5）ですでに修正されており、ベンダーは最新版へのアップデートを推奨している。
ロシアのサイバーセキュリティ企業Kasperskyは、脅威アクター「Head Mare」がビデオ会議サーバー「TrueConf Server」の未修正の脆弱性を悪用し、ロシア国内の企業を標的としたサイバー攻撃を展開していたことを明らかにした。攻撃は2026年7月に検知され、IT、ソフトウェア開発、電子機器、エネルギー、輸送、計測機器など幅広い産業分野が標的になったと報告されている。
この攻撃は、TrueConf Serverに存在する複数のセキュリティ上の欠陥を連鎖的に悪用することで、正規のクライアントインストーラーをバックドア型トロイの木馬「PhantomCore」を仕込んだ改ざん版へ置き換える手口が特徴だという。
脆弱性チェーンとサーバー侵害の手口
Kasperskyの分析によると、今回の攻撃では「KLCERT-26-057」および「KLCERT-26-058」として追跡される2つの脆弱性が悪用された。これらを組み合わせることで、攻撃者はシステム上で最も高い権限を持つ「NT AUTHORITY\SYSTEM」権限で任意のコードを実行することが可能になる。
侵害の流れは、デフォルトで開放されているTCPポート4307への接続から始まる。攻撃者はまず「KLCERT-26-057」を悪用してサーバー上で悪意あるスクリプトを実行する。この段階ではスクリプトはサーバー内の隔離された環境下で動作し、OS機能へのアクセスが制限されているが、続いて「KLCERT-26-058」を悪用することでこの隔離環境を突破（サンドボックス脱出）し、基盤となるホスト上で直接コマンドを実行する。
その後、最高権限を取得した攻撃者は、Webサーバー上のファイル「...\public\js\locale.php」をWebシェル（外部からWeb経由でサーバーを遠隔操作するための不正プログラム）に置き換え、侵害したサーバーへの持続的なアクセス経路を確保していた。
インストーラーの差し替えと多機能マルウェアの展開
設置されたWebシェルは、侵害先ネットワークのITインフラ情報の収集やTrueConfデータベースへのアクセス権限奪取に利用された。攻撃者はこの足がかりを通じてサーバー上の正規クライアント配布ファイルを、バックドアおよびリモートアクセストロイの木馬（RAT）である「PhantomCore」を組み込んだ悪意あるインストーラーへと差し替えた。これにより、クライアントソフトをダウンロードしたエンドポイント端末へマルウェアを感染させる仕組みを構築していた。
さらに攻撃者は、PhantomCoreとコードの一部を共有する別のバックドア「PhantomGraph」も同時に展開していた。PhantomGraphはエンドポイントでの検知を困難にするため、意図的に2つのDLL（Dynamic Link Library：Windowsのプログラム部品）モジュールに分割されている。
- SysExcSvc.dll: 指令サーバー（C2）との通信を担当し、外部からのコマンド受信と実行結果の送信を行う。C2通信のインフラにはMicrosoft OneDriveのクラウドストレージが悪用されていた。
- SysReadSvc.dll: 1つ目のモジュールが受信したコマンドを解析・実行し、その結果を保存する役割を担う。
攻撃者はBase64でエンコードされたPowerShellコマンドを実行し、これら2つのDLLをWindowsサービスとして常駐させていた。Kasperskyは、機能を2つに分離することでEDR（エンドポイント検知・対処）ツールの検出ロジックを回避する狙いがあったと分析している。このほかにも、SSHのリバーストンネル確立、認証情報を窃取するための「lsass.exe」プロセスのメモリダンプ取得、「hostname」や「whoami」などの標準コマンドを用いたシステム情報の収集といった活動が確認されている。
対象バージョンと過去の攻撃事例
影響を受けるのは、TrueConf Serverのバージョン5.3.x（5.3.9未満）、5.4.x（5.4.9未満）、5.5.x（5.5.5未満）およびそれ以前の環境である。開発元は2026年6月18日に修正パッチを適用したバージョン5.3.9、5.4.9、5.5.5をリリースしており、利用企業に対して速やかなアップデートを呼びかけている。
Head MareがTrueConfの脆弱性を狙った攻撃は今回が初めてではない。2026年4月にはPositive Technologiesが、同グループが2025年9月以降に別の3つの脆弱性（BDU:2025-10114、BDU:2025-10115、BDU-2025-10116）を悪用してWebシェルやペイロードを送り込み、情報窃取やコマンド実行を行っていたことを報告している。また、東南アジアの政府機関を標的としたキャンペーンでは、TrueConfクライアントのゼロデイ脆弱性（CVE-2026-3502）が悪用され、Havoc C2フレームワークが展開された事例もCheck Pointによって報告されていた。
関連する更新機構悪用キャンペーン「HelloNet」
Kasperskyは今回の発表に先立ち、2026年5月頃から活動が続いている別のAPT（持続的標的型脅威）攻撃キャンペーン「HelloNet」についても報告している。
このキャンペーンでは、ロシアの通信・セキュリティ製品群「ViPNet」のアップデート機構が悪用されていた。正規の更新用バイナリ「itcsrvup64.exe」を利用して悪意あるDLL「wtsapi32.dll」（別名HelloInjector）をサイドローディング（正規プログラムに偽装して不正なDLLを読み込ませる手法）させ、正規プロセスである「svchost.exe」の内部に不正なペイロードを注入して実行する。ローダーは起動時に実行コンテキストを確認し、対象の条件に一致するプロセスを探索した上で、Windows APIを用いてメモリ注入を行う高度な隠蔽工作を行っていた。
ソフトウェアの正規配布経路やアップデート機能を侵害してマルウェアを拡散させる手口が、重要インフラや主要産業を狙う攻撃者によって継続的に悪用されている実態が示されている。