Head Mareと呼ばれる脅威アクターが、ロシア企業を標的にした攻撃でTrueConfビデオ会議サーバーの脆弱性を悪用し、PhantomCoreバックドアとRATを配布している。Kasperskyによると、この攻撃は2026年7月に発見された。攻撃チェーンは、TrueConfサーバーのバージョン5.3.xから5.3.9、5.4.xから5.4.9、5.5.xから5.5.5までの脆弱性を悪用している。

攻撃は、TCP 4307ポート経由でTrueConfサーバーに接続することから始まり、KLCERT-26-057とKLCERT-26-058の脆弱性を悪用してサーバー上で悪意のあるスクリプトを実行する。このスクリプトは、サーバーのOS機能へのアクセスを制限する隔離環境で起動される。その後、攻撃者はKLCERT-26-058の脆弱性を悪用して隔離環境から脱出し、サーバー上で任意のコマンドを実行できるようになる。

攻撃者は、サーバー上でNT AUTHORITY\SYSTEM権限で任意のコードを実行した後、TrueConf Clientの配布をPhantomCoreを含む悪意のあるバージョンに置き換える。さらに、Webシェルを通じてTrueConfデータベースにアクセスし、ITインフラに関するデータを収集している。