Uma campanha atribuída ao grupo de cibercriminosos Head Mare está explorando vulnerabilidades em servidores do software de videoconferência TrueConf para comprometer organizações e distribuir instaladores adulterados do aplicativo. A operação foi identificada pela Kaspersky em julho de 2026 e tem como alvo empresas russas de setores como energia, transporte, eletrônica, tecnologia e desenvolvimento de software.
O aspecto mais preocupante da campanha é que os invasores não se limitam a obter acesso aos servidores. Depois da invasão, eles utilizam a infraestrutura comprometida para substituir arquivos legítimos por versões contendo códigos maliciosos. Dessa forma, usuários que confiam no servidor podem acabar instalando uma versão comprometida do TrueConf.
Ataque transforma servidor em distribuidor de malware
O TrueConf Server é uma plataforma de comunicação corporativa que pode ser instalada dentro da própria infraestrutura das empresas, permitindo videoconferências, mensagens e outros recursos sem depender necessariamente de uma plataforma externa. A própria fabricante destaca o funcionamento local do produto em redes privadas.
Essa característica, que pode ser vantajosa para organizações que buscam maior controle sobre suas comunicações, também faz com que a segurança do servidor seja especialmente importante.
Segundo a investigação divulgada pela Kaspersky e repercutida pelo The Hacker News, o Head Mare conseguiu explorar falhas em servidores que ainda não haviam recebido as correções de segurança necessárias. A partir do comprometimento, os criminosos alteraram instaladores do TrueConf para incorporar os backdoors PhantomCore e PhantomGraph.
Na prática, isso cria uma situação semelhante a um ataque de cadeia de suprimentos: em vez de atacar diretamente cada computador, o invasor compromete uma fonte considerada confiável e usa essa relação para alcançar os usuários.
Falhas permitiram executar código no servidor
A campanha utiliza vulnerabilidades identificadas pela Kaspersky como KLCERT-26-057 e KLCERT-26-058.
De acordo com a investigação, a exploração permitiu executar código no ambiente do TrueConf e, posteriormente, escapar do ambiente isolado para executar comandos no sistema operacional subjacente. O ataque também envolveu a instalação de mecanismos que ajudavam os criminosos a manter acesso ao ambiente comprometido.
Outro detalhe relevante é que a infraestrutura do TrueConf utiliza a porta TCP 4307 para a comunicação entre aplicações e servidores. A documentação oficial da empresa confirma que essa porta é usada para transmissão de mídia e sinalização pelo protocolo TrueConf.
Isso não significa que a simples exposição da porta represente uma vulnerabilidade. O problema está na combinação entre serviços acessíveis, versões vulneráveis e falhas que podem ser exploradas pelos atacantes.
Instalador legítimo é substituído por versão maliciosa
Depois de obter controle sobre um servidor, o Head Mare passou a utilizar a própria infraestrutura comprometida para distribuir uma versão modificada do cliente TrueConf.
Esse método aumenta significativamente o potencial de impacto porque o usuário pode acreditar que está realizando uma instalação normal ou recebendo uma atualização legítima.
A campanha identificada em julho distribuiu versões que continham os backdoors PhantomCore e PhantomGraph. Uma vez executados, esses componentes podem permitir que os invasores mantenham acesso ao dispositivo comprometido e realizem outras atividades dentro da rede da vítima.
O cenário é especialmente perigoso em ambientes corporativos porque um computador comprometido pode servir como ponto inicial para ataques posteriores contra outros sistemas internos.
Head Mare já explorava TrueConf anteriormente
A descoberta não representa a primeira vez que o grupo utiliza vulnerabilidades do TrueConf.
Relatórios anteriores da Kaspersky já associaram o Head Mare, também conhecido como PhantomCore, a ataques contra organizações russas. Em campanhas anteriores, o grupo explorou vulnerabilidades do TrueConf para obter acesso inicial e utilizar ferramentas adicionais dentro das redes invadidas.
Em abril de 2026, uma investigação da Positive Technologies também apontou o uso de uma cadeia de vulnerabilidades do TrueConf pelo grupo desde setembro de 2025. Entre os problemas estavam falhas que permitiam acesso não autorizado a determinados endpoints administrativos e leitura arbitrária de arquivos. As correções para essas vulnerabilidades haviam sido disponibilizadas pela TrueConf em agosto de 2025.
A recorrência mostra um problema conhecido no gerenciamento de vulnerabilidades: disponibilizar uma correção não significa que todos os ambientes vulneráveis serão atualizados imediatamente.
TrueConf publicou novas atualizações de segurança
A própria TrueConf publicou diferentes atualizações de segurança ao longo de 2026.
Em junho, a empresa recomendou a atualização imediata do TrueConf Server para as versões 5.5.5, 5.4.9 ou 5.3.9, dependendo da versão utilizada. A companhia alertou que deixar de instalar as atualizações reduziria a proteção contra possíveis ataques realizados pela internet.
A fabricante também recomenda restringir o acesso ao painel administrativo, configurar HTTPS e limitar quais endereços IP podem acessar determinadas funções administrativas.
Para organizações que ainda utilizam versões antigas, a recomendação é verificar diretamente a documentação e o processo de atualização indicado pela empresa.
O risco para empresas brasileiras
Não há indicação, nas informações disponíveis sobre esta campanha, de que organizações brasileiras estejam entre os alvos identificados.
Ainda assim, o caso serve de alerta para empresas brasileiras que utilizam soluções de comunicação instaladas dentro da própria infraestrutura.
Um dos principais riscos está na falsa sensação de segurança proporcionada por sistemas “on-premises”. Ter o servidor dentro da empresa oferece maior controle sobre os dados, mas também transfere para a organização parte importante da responsabilidade pela atualização, configuração e monitoramento da infraestrutura.
Além disso, o ataque mostra que manter apenas os computadores dos usuários atualizados não é suficiente. Servidores, aplicações de comunicação, mecanismos de atualização e ferramentas utilizadas para distribuição de software também precisam fazer parte da estratégia de segurança.
O que as empresas devem fazer
Organizações que utilizam TrueConf devem verificar imediatamente a versão instalada e confirmar se as atualizações de segurança disponíveis foram aplicadas.
Também é recomendável revisar os registros do servidor em busca de atividades anormais, verificar a integridade dos instaladores distribuídos internamente e investigar computadores que tenham recebido ou instalado pacotes provenientes de servidores potencialmente comprometidos.
Em ambientes corporativos, a análise não deve se limitar ao servidor. Caso exista suspeita de comprometimento, é importante verificar também os endpoints que se conectaram à infraestrutura afetada.
O episódio reforça uma tendência preocupante da cibersegurança: a infraestrutura confiável da própria empresa pode ser transformada em ferramenta de ataque.
Quando criminosos conseguem adulterar um software distribuído por um servidor legítimo, a fronteira entre invasão de infraestrutura e ataque à cadeia de suprimentos praticamente desaparece. Por isso, atualização, verificação de integridade, segmentação de rede e monitoramento contínuo passam a ser medidas essenciais — especialmente em sistemas que concentram as comunicações de uma organização.
