Head Mare APT: Ataque via TrueConf e PhantomCore
Alerta máximo. O grupo Head Mare APT acabou de elevar o jogo. Eles não estão apenas invadindo servidores: estão envenenando o software que você usa para se comunicar. A Kaspersky revelou uma campanha assustadora que explora vulnerabilidades em servidores TrueConf para distribuir backdoors perigosos. Se você ou sua empresa usa videoconferência, precisa agir agora.
O ataque: como o Head Mare APT está se infiltrando
O grupo Head Mare, antes classificado como hacktivista, agora é reconhecido como uma APT (Ameaça Persistente Avançada). Isso significa que eles têm recursos, paciência e alvos específicos. Nesta campanha, o alvo foi o TrueConf, um popular software de videoconferência usado por empresas na Rússia e em outros países.
Os atacantes exploraram duas vulnerabilidades críticas no servidor TrueConf (identificadas como KLCERT-26-057 e KLCERT-26-058). Com elas, conseguiram executar código arbitrário com privilégios de sistema. Em seguida, substituíram o instalador legítimo do cliente TrueConf por uma versão infectada com o backdoor PhantomCore.
Mas não parou por aí. Usando um web shell, eles também carregaram o PhantomGraph, um backdoor modular que usa o OneDrive da Microsoft como canal de comando e controle. A sofisticação é alta: os módulos são divididos para dificultar a detecção por EDR.
Leia também: Ransomware: Ameaça para entender como ataques desse tipo se encaixam no cenário atual de ameaças emergentes.
Quem está em risco?
Se sua organização usa TrueConf Server versões 5.3.X até 5.3.9, 5.4.X até 5.4.9 ou 5.5.X até 5.5.5, você está vulnerável. A porta 4307/TCP, aberta por padrão, é a porta de entrada. Mesmo que você não use TrueConf, seus parceiros de negócios podem usar, e você pode ser infectado ao participar de reuniões e baixar o instalador comprometido.
O vetor de infecção é sorrateiro: o instalador malicioso não tem assinatura digital válida, mas muitos usuários não verificam isso. Uma vez executado, o PhantomCore se instala silenciosamente, criando uma entrada no Registro do Windows para persistência.
PhantomCore e PhantomGraph: os backdoors em detalhes
O PhantomCore é um backdoor que permite aos atacantes controlar remotamente o sistema infectado. Ele é entregue via instalador falso do TrueConf Client. Após a instalação, ele se esconde e aguarda comandos.
O PhantomGraph é ainda mais modular. Ele consiste em dois componentes: SysExcSvc.dll (recebe comandos) e SysReadSvc.dll (executa comandos). Os atacantes usaram comandos PowerShell codificados em Base64 para instalar esses módulos como serviços do Windows. A divisão em dois módulos é uma técnica para evadir ferramentas de segurança.
Alguns comandos detectados pelos pesquisadores incluem:
- Despejo de memória do processo lsass.exe (para roubar credenciais)
- Reconhecimento do sistema (hostname, whoami)
- Criação de túnel reverso SSH
Essas ações indicam que o objetivo é roubo de dados e movimento lateral dentro da rede corporativa.
O fator humano: golpe do PIX e engenharia social
Enquanto o Head Mare usa vulnerabilidades técnicas, outros criminosos apostam na engenharia social. O golpe do PIX é um exemplo claro. Nele, o criminoso se passa por alguém de confiança e convence a vítima a fazer uma transferência imediata. O dinheiro some em segundos.
Assim como no ataque ao TrueConf, a confiança é explorada. No caso do PIX, o golpista pode ligar fingindo ser do banco ou enviar um boleto falso. A recomendação é simples: desconfie de pedidos urgentes de transferência. Confirme por outro canal antes de enviar qualquer valor.
Se você foi vítima de um golpe ou suspeita que seus dados vazaram, é crucial monitorar sua identidade digital. A Kzarka oferece ferramentas para verificar se seus dados estão expostos na dark web.
Como se proteger agora: ações imediatas
Não espere ser a próxima vítima. Siga estas etapas hoje:
- Atualize o TrueConf Server para as versões corrigidas: 5.3.9, 5.4.9 ou 5.5.5. A correção foi lançada em 18 de junho de 2026.
- Verifique a assinatura digital de qualquer instalador do TrueConf Client antes de executar. Instaladores legítimos são assinados pelo fornecedor.
- Monitore a porta 4307/TCP no firewall. Se não for necessária, bloqueie.
- Eduque sua equipe sobre os riscos de baixar software de fontes não verificadas.
- Use uma solução de segurança robusta que detecte comportamentos anômalos, como criação de arquivos suspeitos por processos do TrueConf.
Além disso, proteja seus dispositivos móveis. Muitos usuários acessam reuniões pelo celular. Confira o Guia Completo de Segurança para Celulares e Tablets para dicas práticas.
O que fazer se você foi infectado?
Se você suspeita que seu sistema foi comprometido pelo PhantomCore ou PhantomGraph, isole o dispositivo da rede imediatamente. Em seguida:
- Desligue o computador e não o utilize para atividades sensíveis.
- Contate um especialista em resposta a incidentes.
- Altere todas as senhas, especialmente de contas administrativas.
- Verifique se há indicadores de comprometimento (IOCs) fornecidos pela Kaspersky.
A detecção precoce é vital. Ferramentas de monitoramento de vazamentos podem alertar se suas credenciais aparecerem em fóruns criminosos.
Conclusão: a ameaça é real e crescente
O ataque do Head Mare APT via TrueConf é um lembrete sombrio de que nenhum software é 100% seguro. Ataques à cadeia de suprimentos, como este, são particularmente perigosos porque exploram a confiança que depositamos em ferramentas do dia a dia.
Não seja complacente. Atualize, verifique e monitore. E lembre-se: sua identidade digital é um ativo valioso. Proteja-a com a mesma seriedade que protege sua conta bancária.
Verifique agora se seus dados vazaram na Kzarka. Monitore sua identidade digital e receba alertas em tempo real. Não espere o pior acontecer.
FAQ – Perguntas Frequentes
O que é o grupo Head Mare APT?
Head Mare é um grupo de ameaças avançadas (APT) que antes era considerado hacktivista, mas agora demonstra técnicas sofisticadas de invasão. Eles visam organizações em setores como manufatura, transporte e energia, principalmente na Rússia.
Como o PhantomCore é distribuído?
O PhantomCore é distribuído através de instaladores falsos do TrueConf Client. Os atacantes comprometem o servidor TrueConf e substituem o instalador legítimo por uma versão infectada. Quando o usuário baixa e executa o instalador, o backdoor é instalado silenciosamente.
Quais versões do TrueConf são vulneráveis?
As versões vulneráveis são: 5.3.X até 5.3.9, 5.4.X até 5.4.9 e 5.5.X até 5.5.5. As versões corrigidas são 5.3.9, 5.4.9 e 5.5.5, lançadas em 18 de junho de 2026.
Como posso saber se fui infectado?
Verifique se há processos ou serviços suspeitos, como SysExcSvc.dll ou SysReadSvc.dll. Monitore o tráfego de rede para conexões com o OneDrive ou IPs desconhecidos. Use uma ferramenta de segurança atualizada para escanear o sistema. Se possível, consulte os indicadores de comprometimento fornecidos pela Kaspersky.