Head Mare Manfaatkan Celah TrueConf Ganti Installer dengan Malware PhantomCore

Kelompok ancaman siber bernama Head Mare kembali memanfaatkan celah keamanan pada server TrueConf yang belum diperbarui untuk mengganti installer klien asli dengan versi berisi malware PhantomCore. Serangan ini menargetkan berbagai perusahaan di Rusia yang bergerak di bidang instrumentasi, elektronik, transportasi, energi, TI, dan pengembangan perangkat lunak.

Berdasarkan laporan vendor keamanan siber Rusia, Kaspersky, serangan ini terdeteksi pada Juli 2026. Modus operandi serangan memanfaatkan rantai kerentanan pada server videokonferensi TrueConf yang memungkinkan pelaku menjalankan kode berbahaya dengan hak akses SYSTEM dan mengganti paket distribusi klien TrueConf dengan malware yang mengandung backdoor dan remote access trojan (RAT) PhantomCore.

Celah Keamanan TrueConf yang Dieksploitasi

Kerentanan yang dimanfaatkan diberi kode KLCERT-26-057 dan KLCERT-26-058. Kedua celah ini memungkinkan pelaku menjalankan kode secara arbitrer dengan hak istimewa tinggi pada versi TrueConf server 5.3.x hingga 5.3.9, 5.4.x hingga 5.4.9, dan 5.5.x hingga 5.5.5 serta versi sebelumnya.

Rangkaian serangan yang dilakukan oleh Head Mare meliputi langkah-langkah berikut:

1. Pelaku mengakses server TrueConf melalui port TCP 4307 yang terbuka secara default.
2. Memanfaatkan celah KLCERT-26-057 untuk menjalankan skrip berbahaya dalam lingkungan terisolasi di server.
3. Melalui celah KLCERT-26-058, pelaku keluar dari lingkungan terisolasi tersebut dan mengeksekusi perintah secara bebas di host.
4. Menjalankan kode dengan hak akses NT AUTHORITY\SYSTEM pada server.
5. Mengganti file "...\public\js\locale.php" dengan web shell untuk akses jarak jauh yang persisten.

Web shell ini digunakan untuk mengumpulkan informasi infrastruktur TI, mendapatkan akses ke database TrueConf, dan mengganti distribusi klien asli dengan versi terinfeksi yang membawa malware PhantomCore. Selain itu, web shell juga menjadi pintu masuk bagi backdoor lain bernama PhantomGraph, yang memiliki kemiripan kode dengan PhantomCore dan terdiri dari dua modul DLL:

• SysExcSvc.dll: menerima perintah dan mengirim hasilnya ke penyimpanan cloud Microsoft OneDrive yang digunakan sebagai server kendali (C2).
• SysReadSvc.dll: mengurai perintah, mengeksekusinya, serta menyimpan hasilnya.

Menurut Kaspersky, pelaku sengaja memecah malware ini menjadi dua komponen agar sulit terdeteksi oleh perangkat deteksi dan respons endpoint (EDR). Untuk mempertahankan kehadiran permanen, pelaku menjalankan perintah PowerShell yang dikodekan Base64 guna menginstal kedua modul DLL sebagai layanan Windows.

Teknik Tambahan Pelaku dan Dampak Serangan

Dalam serangan ini, pelaku juga membuka reverse SSH tunnel, melakukan memory dump proses lsass.exe, serta mengumpulkan informasi sistem menggunakan perintah seperti hostname dan whoami. Semua aktivitas ini menunjukkan upaya pelaku untuk menguasai jaringan dan mencuri data secara menyeluruh.

Vendor TrueConf telah memperbaiki kerentanan tersebut melalui pembaruan versi server terbaru 5.3.9, 5.4.9, dan 5.5.5 yang dirilis pada 18 Juni 2026. Organisasi yang menggunakan TrueConf sangat disarankan untuk segera mengunduh dan memasang versi terbaru demi keamanan maksimal.

Sejarah Serangan Head Mare pada TrueConf

Ini bukan pertama kalinya Head Mare menyasar celah keamanan di produk TrueConf. Pada April 2026, Positive Technologies mengungkap bahwa kelompok ini mengeksploitasi tiga kerentanan sejak September 2025 untuk menyebarkan PHP web shell dan muatan berbahaya guna mencuri data dan mengeksekusi perintah pada target di Rusia. Bersamaan dengan itu, Check Point melaporkan eksploitasi zero-day lain di TrueConf Client (CVE-2026-3502) yang menargetkan entitas pemerintah di Asia Tenggara guna menyebarkan framework kendali Havoc C2.

Serangan ViPNet dengan Malware HelloInjector dan HelloProxy

Tak hanya TrueConf, Kaspersky juga menemukan serangan canggih lainnya sejak Mei 2026 yang memanfaatkan mekanisme pembaruan produk ViPNet untuk menyerang sektor pemerintah, energi, transportasi, pendidikan, dan logistik di Rusia. Grup APT yang belum teridentifikasi menggunakan malicious DLL bernama wtsapi32.dll yang disamarkan sebagai file sah dalam sistem pembaruan ViPNet.

DLL berbahaya ini, disebut HelloInjector, disalurkan oleh binary pembaruan itcsrvup64.exe dan menjalankan payload tersembunyi dalam proses svchost.exe. Payload tersebut, yang dinamai HelloProxy, berfungsi sebagai proxy tersembunyi dan pemuat modul tambahan dari server C2.

Modul lain dalam kampanye ini yaitu:

• HelloExecutor: mengeksekusi perintah dan membuka SSH tunnel ke infrastruktur pelaku.
• HelloCleaner: membersihkan log ViPNet untuk menghilangkan jejak forensik.

Di salah satu sistem terinfeksi juga ditemukan implant berbasis bahasa Rust bernama HelloBackdoor yang memungkinkan unggah dan unduh file dari server C2. Perintah yang tidak sesuai format akan dijalankan melalui cmd.exe.

Serangan ini diduga dilakukan oleh kelompok APT berbahasa China, berdasarkan referensi situs Cina dan server mirror perangkat lunak yang terkait dengan Universitas Sains dan Teknologi China. Penggunaan pembaruan palsu ViPNet sebagai vektor serangan menegaskan bahwa perangkat lunak populer di Rusia kini menjadi sasaran utama aktor ancaman canggih.

Analisis Redaksi

Menurut pandangan redaksi, serangan berantai yang memanfaatkan celah keamanan pada perangkat lunak komunikasi dan keamanan seperti TrueConf dan ViPNet menunjukkan pola peningkatan kompleksitas serangan siber terhadap infrastruktur penting di Rusia. Head Mare dan aktor lain memanfaatkan kelemahan perangkat lunak yang seringkali terlambat diperbaiki oleh organisasi, membuka peluang untuk memasukkan backdoor yang sulit dideteksi dan kontrol jarak jauh terhadap sistem.

Lebih jauh, penggunaan cloud storage seperti Microsoft OneDrive sebagai server kendali menunjukkan inovasi pelaku untuk menghindari deteksi tradisional. Strategi pemecahan malware menjadi beberapa komponen memperumit proses deteksi oleh solusi keamanan. Ini menandakan bahwa keamanan siber organisasi harus adaptif dan selalu mengedepankan pembaruan perangkat lunak secara cepat serta pemantauan berlapis.

Ke depan, penting bagi perusahaan dan institusi di sektor kritikal untuk meningkatkan kesadaran dan kesiapsiagaan terhadap serangan rantai pasokan perangkat lunak. Penggunaan solusi keamanan yang mampu mendeteksi perilaku anomali dan integrasi threat intelligence akan menjadi kunci utama dalam melindungi aset digital dari ancaman seperti yang dijalankan oleh Head Mare.

Untuk informasi lebih lanjut, Anda dapat membaca laporan asli dari sumber The Hacker News dan update terkini dari Kaspersky.