会議サーバーが乗っ取られ、配布中のインストーラーが改ざんされた — TrueConfを狙ったサプライチェーン攻撃

ビデオ会議サーバーのTrueConfで、攻撃グループが未更新のサーバーを乗っ取り、サーバーが配布するクライアントインストーラーをバックドア入りの改ざん版にすり替える攻撃が確認された。ロシアのKasperskyが2026年7月に発見し、分析結果を公開している。

TrueConfはロシアで広く使われるビデオ会議ツールで、特に企業や政府機関で「ZoomやMicrosoft Teamsの代わりになるオンプレミス製品」として採用されている。今回の攻撃では、自社でTrueConfサーバーを運用していない組織でも、取引先の侵害されたTrueConfサーバーに接続して会議に参加した際に、改ざんされたインストーラーをダウンロードさせられる可能性があることが警告されている。

攻撃の流れ

Kasperskyの分析によると、攻撃の流れは次のとおりだ。

1. 侵入 — 攻撃者はTCPポート4307（初期状態で開放されている）を使って、認証なしでTrueConfサーバーに接続する
2. 特権取得 — TrueConfの隔離環境内でスクリプトを実行できる脆弱性（Kaspersky内部識別子KLCERT-26-057）と、その隔離環境を抜けてOS上でコマンドを実行できる脆弱性（KLCERT-26-058）を連鎖させ、**NT AUTHORITY\SYSTEM（最上位の権限）**を取得する
3. 永続化 — サーバーのWeb公開ディレクトリにあるlocale.phpをWebシェルに置き換え、持続的な遠隔アクセスを確保する
4. インストーラーの改ざん — Webシェル経由で機密情報の収集やTrueConfデータベースへのアクセスを行い、サーバー上の正規のTrueConfクライアントインストーラーを、PhantomCoreバックドアを含む改ざん版に置き換える
5. 拡散 — 組織のメンバーがサーバーへ接続して更新を取得すると、デジタル署名されていない改ざん版インストーラーが配布される

2つのバックドア

今回確認されたバックドアは2つある。

• PhantomCore — 改ざんされたインストーラー経由で配布されるバックドア
• PhantomGraph — SysExcSvc.dllとSysReadSvc.dllの2つのDLLからなるバックドアで、Microsoft OneDriveアカウントを指令チャネルとして使う。攻撃者はOneDrive経由でコマンドを送り、結果を受け取る。観測された活動には、資格情報を抽出するためのLSASSプロセスメモリのダンプ、hostnameやwhoamiなどの偵察コマンドの実行、リバースSSHトンネルの開始などがある

Kasperskyは、この攻撃を行ったとみられる「Head Mare」グループが、ロシアの計測機器・電子機器・運輸・エネルギー・IT・ソフトウェア開発など複数の分野の組織を狙うキャンペーンを現在も展開していると報告している。初期侵入の手段には、フィッシング、公開Webサーバーの脆弱性悪用、取引先経由のアクセスが使われている。

影響を受けるバージョンと修正状況

Kasperskyが攻撃で悪用を確認した脆弱性は、次のバージョンのTrueConf Serverに影響する。

• 5.3.x — 5.3.9 未満
• 5.4.x — 5.4.9 未満
• 5.5.x — 5.5.5 未満

修正版（5.3.9 / 5.4.9 / 5.5.5）は2026年6月18日にリリース済みで、TrueConfも公式ブログで「すぐに最新版へアップグレードしてほしい」と案内している。今回の攻撃は、この修正が適用されていないサーバーを狙ったものだ。なお、2026年4月にはCheck Point Researchが、TrueConfクライアントの更新プログラムを検証せずに適用してしまう別の脆弱性（CVE-2026-3502）を悪用した「Operation TrueChaos」と名付けたサプライチェーン攻撃を報告しており、TrueConf製品を狙った攻撃が継続していることがうかがえる。

組織が取るべき対応

• バージョンの確認と即時更新 — TrueConf Serverを運用している場合、5.3.9 / 5.4.9 / 5.5.5 以上へ更新する
• ポート4307の露出確認 — 管理・接続用ポートがインターネットに直接露出していないか確認し、必要に応じてアクセス制限をかける
• 配布物の整合性確認 — サーバーが配布しているインストーラーが正規のものか（デジタル署名・ハッシュ）確認する。改ざんされたサーバーから取得した可能性がある端末は、追加のバックドアがないか調査する
• ログの監査 — locale.phpへの不審なアクセスや、インストーラーディレクトリの想定外のファイル変更がないか確認する

会議サーバーは「通信の道具」でありながら、組織のメンバー全員がつながる接点でもある。そこで配布されるファイルが改ざんされれば、一つの侵害が組織全体の端末へ広がる。サーバー側の更新管理と、配布物の署名検証は、会議システムでも例外ではない。

出典: Kaspersky Securelist — Head Mare targets TrueConf Server with PhantomCore / Check Point Research — Operation TrueChaos / TrueConf — Security Updates for June 2026 / NVD — CVE-2026-3502