根據網路安全廠商 Kaspersky 的研究報告，一個被命名為 Head Mare 的威脅組織近期針對俄羅斯境內多個關鍵產業發動攻擊，目標涵蓋電子、能源、交通、IT 及軟體開發等領域。此次攻擊的核心手段是利用視訊會議軟體 TrueConf Server 的未修補漏洞，將合法的客戶端安裝程式替換為含有惡意程式的版本，從而實現大規模的供應鏈滲透。
背景與攻擊目標
TrueConf 是一款廣泛應用於企業與政府的視訊會議伺服器軟體。Head Mare 組織採取的是一種精密的供應鏈攻擊策略，他們並不直接攻擊最終用戶的電腦，而是先攻陷部署在企業內部的 TrueConf Server。一旦伺服器被控制，攻擊者就能修改伺服器上提供給使用者下載的安裝檔。當員工下載並安裝這個被篡改的客戶端時，惡意後門將在不知不覺中被植入目標系統。這種方法極具欺騙性，因為使用者下載的來源是公司內部信任的伺服器。
漏洞利用與滲透路徑
此次攻擊利用了一組漏洞鏈，具體編號為 KLCERT-26-057 與 KLCERT-26-058。攻擊過程分為三個主要階段：
首先，攻擊者透過預設開啟的 TCP 4307 埠連接到 TrueConf 伺服器，並利用 KLCERT-26-057 漏洞在伺服器上執行惡意指令碼。由於此漏洞執行的環境受到隔離，攻擊者最初無法直接控制作業系統。
接著，攻擊者利用第二個漏洞 KLCERT-26-058 實現環境逃逸，突破隔離限制，直接在宿主機上執行任意命令。這使得攻擊者最終獲得了 NT AUTHORITY\SYSTEM 權限，這是 Windows 系統中最高等級的管理權限，允許他們對伺服器進行任何操作。
最後，為了維持長期存取權限，攻擊者將伺服器上的 locale.php 檔案替換為 Web Shell。Web Shell 是一種允許攻擊者透過網頁介面遠端控制伺服器的後門工具。利用這個入口，Head Mare 能進一步搜集 IT 基礎設施資訊、存取資料庫，並將合法的 TrueConf 客戶端安裝程式替換為含有 PhantomCore 的中毒版本。
惡意軟體 PhantomCore 與 PhantomGraph 的運作
被植入的 PhantomCore 是一種遠端存取木馬（Remote Access Trojan, RAT），能讓攻擊者遠端操控受害電腦。除了 PhantomCore，伺服器上的 Web Shell 還被用來部署另一款名為 PhantomGraph 的後門。
PhantomGraph 在設計上採取了模組化策略，將功能拆分為兩個 DLL 動態連結庫檔案：SysExcSvc.dll 負責接收指令並將結果回傳至 Microsoft OneDrive 雲端儲存空間，而 SysReadSvc.dll 則負責解析並執行這些指令。這種將惡意程式拆分為多個組件的做法，旨在規避 EDR（Endpoint Detection and Response，端點偵測與回應）等安全防護軟體的偵測，因為單一組件的行為可能看起來不夠可疑。
此外，攻擊者還會執行 Base64 編碼的 PowerShell 指令將這些 DLL 註冊為 Windows 服務以確保開機自啟，並透過 SSH 反向隧道（SSH Reverse Tunnel）建立穩定的遠端連線，甚至對 lsass.exe 程序進行記憶體傾印（Memory Dump）以竊取系統憑證。
影響、限制與防禦建議
此次攻擊影響的 TrueConf Server 版本包括 5.3.x（至 5.3.9 以前）、5.4.x（至 5.4.9 以前）以及 5.5.x（至 5.5.5 以前）。官方已於 2026 年 6 月 18 日發布修補版本，建議所有使用者立即更新至 5.3.9、5.4.9 或 5.5.5 以上版本。
值得注意的是，這並非 Head Mare 首次針對 TrueConf 採取行動。早在 2025 年 9 月，該組織就曾利用其他漏洞部署 PHP Web Shell 進行資訊竊取。同時，另一個針對東南亞政府單位的攻擊活動也利用了 TrueConf 客戶端的零日漏洞（Zero-day vulnerability，指尚未被廠商知曉且無修補程式的漏洞）來部署 Havoc C2 框架。
綜合來看，這類攻擊揭示了企業內部伺服器若缺乏及時更新，將成為極其危險的單點故障。當伺服器淪為分發惡意軟體的跳板時，傳統的端點防護可能因信任內部來源而失效。因此，除了更新軟體，企業應加強對伺服器檔案變更的監控，並對下載的安裝包進行雜湊值（Hash）驗證，以確保軟體完整性。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。