Head Mare remplace des installateurs TrueConf par des versions infectées, selon Kaspersky
Kaspersky publie une alerte sur Head Mare, un groupe qui exploite deux failles d’un serveur de visioconférence TrueConf non mis à jour. Les attaquants remplacent le programme d’installation du client par une version infectée qui installe la porte dérobée PhantomCore.
Pour les pros
Pour les professionnels
Le contexte
TrueConf est une solution de visioconférence que les organisations peuvent installer sur leurs propres serveurs. Kaspersky a découvert l’attaque en juillet 2026. Head Mare, qu’elle classait auparavant parmi les hacktivistes, est désormais rangé parmi les groupes APT, en raison de techniques plus élaborées et de l’absence de signes destructeurs. Deux failles non authentifiées du serveur, corrigées par l’éditeur dans les versions 5.3.9, 5.4.9 et 5.5.5, ont permis l’exécution de code avec les droits les plus élevés.
Ce qui s'est passé, jour après jour
TrueConf publie les versions 5.3.9, 5.4.9 et 5.5.5 du serveur, qui corrigent les failles exploitées, selon Kaspersky.
Kaspersky publie son analyse : le serveur compromis distribuait un installateur du client TrueConf remplacé par une version infectée par PhantomCore ; une seconde porte dérobée, PhantomGraph, est aussi décrite.
Kaspersky complète son billet avec la logique de détection de son service de détection et de réponse gérées (MDR).
Qui est concerné
- Kaspersky
- Head Mare
- TrueConf
À faire, dans l'ordre
Mettre à jour les serveurs TrueConf vers la version 5.3.9, 5.4.9, 5.5.5 ou ultérieure, selon la branche utilisée.
Vérifier que les installateurs du client proposés par le serveur portent une signature numérique TrueConf valide : selon Kaspersky, les versions malveillantes observées n’en ont pas. L’authenticité se contrôle aussi sur le site de l’éditeur.
Se méfier des installateurs téléchargés depuis le serveur de visioconférence d’un partenaire ou d’un prestataire : Kaspersky signale que l’infection peut aussi atteindre les invités de serveurs compromis.
Contrôler que le port 4307/TCP du serveur, ouvert par défaut selon la documentation, n’est pas joignable depuis Internet sans nécessité.
En clair
Pour tout le monde
Dans une entreprise, le serveur de visioconférence propose souvent le programme que chacun télécharge pour rejoindre les réunions. Selon Kaspersky, un groupe appelé Head Mare a exploité des failles d’un serveur TrueConf non mis à jour pour remplacer ce programme par une version piégée, qui ouvre une porte dérobée sur l’ordinateur. Les cibles décrites sont russes. Le conseil vaut partout : mettre à jour ses serveurs et vérifier la signature d’un programme avant de le lancer.
Ce que ça change dans le Pacifique
Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna
Aucun lien avec le Pacifique n’est établi à ce jour : Kaspersky ne décrit que des organisations russes comme cibles. Le sujet reste utile partout où un partenaire héberge sa propre visioconférence : un programme téléchargé depuis le serveur d’un tiers doit toujours être vérifié (signature, source) avant d’être installé.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- Kaspersky