Kaspersky, Head Mare APT grubunun PhantomCore ve PhantomGraph truva atlarını (backdoor) kullanarak kurumlara yönelik yeni ve çok aşamalı bir siber saldırı gerçekleştirdiğini tespit etti. Saldırganlar, bu truva atlarını sistemlere sızdırmak amacıyla yamalanmamış TrueConf video konferans sunucularındaki güvenlik açıklarından yararlanıyor ve TrueConf istemci kurulum dosyalarını zararlı yazılımlarla değiştirebiliyor. Kaspersky’nin durumu üreticiye bildirmesinin ardından TrueConf, 18 Haziran 2026 tarihinde yayımladığı en son sunucu güncellemesiyle (5.3.9, 5.4.9 ve 5.5.5 sürümleri) söz konusu zafiyetleri giderdi.
Saldırganlar, TrueConf sunucusunu ele geçirmek için iki ayrı zafiyetin bileşiminden yararlandı (Kaspersky tarafından atanan dahili tanımlayıcılar: KLCERT-26-057 ve KLCERT-26-058). Bu kombinasyon, saldırganların en yüksek yetki seviyesiyle kodları çalıştırmalarına olanak tanıdı. Zafiyetleri istismar eden tehdit aktörleri, sunucudaki kritik bir dosyayı kendi web shell (zararlı web arayüzü) yazılımlarıyla değiştirdi. Ardından bu arayüz üzerinden kurban kurumun IT altyapısı hakkında bilgi topladılar, TrueConf sunucu veri tabanına ayrıcalıklı erişim sağladılar ve istemci kurulum dosyasını enfekte edilmiş bir sürümle değiştirdiler. Söz konusu saldırı; TrueConf sunucularının 5.3.9 öncesindeki 5.3.X, 5.4.9 öncesindeki 5.4.X ve 5.5.5 öncesindeki 5.5.X sürümleri ile daha eski versiyonlarını etkiliyor.
TrueConf yazılımı kullanıcıları açısından süreç şu şekilde işliyor: Ele geçirilen sunucuya bağlanan video konferans katılımcılarına, istemci uygulamasının “güncellenmiş bir sürümünü” indirmeleri ve kurmaları yönünde bir uyarı gösteriliyor. Kullanıcılar bu işlemi gerçekleştirdiğinde ise aygıtlarına zararlı yazılım bulaşmış oluyor.
Kaspersky ICS CERT Başkanı Evgeny Goncharov konuya ilişkin şunları kaydetti: “Yaygın olarak kullanılan servislerdeki güvenlik açıklarını istismar etmek, saldırganların en sık başvurduğu yöntemlerden biridir. Bu kampanya özellikle tehlikeli; çünkü yalnızca yamalanmamış TrueConf sunucularını kullanan kurumları riske atmakla kalmıyor. Bir şirket bu çözümü bizzat kullanmasa dahi, çalışanları iş ortaklarının davetiyle ele geçirilmiş sunucular üzerinden çevrim içi toplantılara katılabiliyor. Bunun sonucunda farkında olmadan enfekte kurulum paketlerini indirerek farklı ülkelerdeki pek çok işletmenin güvenliğini tehlikeye atma potansiyeli taşıyorlar.”
Kaspersky Endpoint Detection and Response Expert, kötü amaçlı faaliyetleri tespit ediyor.
Kaspersky, riskleri azaltmak için kuruluşlara şu önerilerde bulunuyor:
- TrueConf sunucularını sırasıyla 5.5.5, 5.4.9 ve 5.3.9 sürümlerine güncelleyin.
- Güvenlik ihlaline ilişkin göstergeleri (IoC) tarayın ve tespit edilmesi durumunda, güvenliği ihlal edilmiş olabilecek hesapların parolalarını plan dışı olarak değiştirin.
- Güncel antivirüs veritabanlarına ve yazılım modüllerine sahip güvenlik yazılımlarıyla tam sistem taraması gerçekleştirin.
- Güvenlik açıklarını sürekli olarak izleyin ve tespit edilen açıkları zamanında giderin. Yamalar yayımlandığında yazılımlarınızı mümkün olan en kısa sürede güncelleyin.
- Bilgi güvenliği uzmanlarının, saldırganların kullandığı taktikler, teknikler ve prosedürlere (TTP’ler) ilişkin güncel bilgilere erişmesini sağlayın. Böylece hangi yöntemlere karşı önlem alınması gerektiği belirlenebilir; örneğin Threat Intelligence çözümlerinden yararlanılabilir.
- Esnek ve etkili bir güvenlik sistemi oluşturulmasına olanak sağlayan Kaspersky Next ürün ailesi gibi kapsamlı güvenlik çözümlerini kullanın.
