Head MareハクティビストグループがTrueConfビデオ会議サーバーの脆弱性を利用し、ユーザーがダウンロードしたインストールファイルをPhantomCoreとPhantomGraphのバックドアでトロイの木馬化している。Kasperskyの研究者は、同グループがTCP port 4307を介して認証なしにサーバーに接続し、KLCERT-26-057およびKLCERT-26-058の脆弱性を使用して攻撃を実行したことを確認した。この脆弱性により、攻撃者は最高権限でコードを実行し、サンドボックスを抜けてOS上でコマンドを実行できる。

攻撃者はNT AUTHORITY\\SYSTEM権限を昇格させ、\\public\\js\\locale.phpをウェブシェルに置き換え、サーバーへの永続的なリモートアクセスを確保する。Kasperskyは、Head Mareグループがウェブシェルを用いて機密情報を収集し、TrueConfデータベースにアクセスし、サーバー上にホストされている正規のTrueConf ClientインストールファイルをPhantomCoreバックドアを含む悪意あるバージョンに置き換えたと指摘している。組織のメンバーがローカルのTrueConfサーバーに接続すると、署名のないトロイの木馬化されたインストールファイルとして更新を受け取る。

Kasperskyは、Head MareグループがPhantomGraphという別のバックドアも配布しており、これはSysExcSvc.dllとSysReadSvc.dllの二つのDLLファイルから構成されていることを検出した。