Peretas Bobol Server TrueConf, Sisipkan Backdoor pada Berkas Instalasi Klien
Kelompok hacktivist Head Mare dilaporkan mengeksploitasi celah kerentanan pada server konferensi video TrueConf yang belum ditambal untuk mengganti berkas instalasi klien (client installer) dengan versi berbahaya yang telah disisipi backdoor.
Eksploitasi ini memanfaatkan celah keamanan yang memungkinkan peretas menjalankan kode sembarang (arbitrary code execution) dengan hak akses tertinggi, lalu menyebarkan backdoor jenis PhantomCore dan PhantomGraph ke dalam sistem korban.
TrueConf merupakan platform konferensi video berbasis on-premise yang digunakan secara luas di Rusia, khususnya pada sektor korporasi dan lembaga pemerintah, sebagai alternatif dari produk luar negeri seperti Zoom dan Microsoft Teams.
Analis keamanan siber dari Kaspersky yang pertama kali menemukan serangan ini mengungkapkan bahwa peretas memanfaatkan port TCP 4307—yang terbuka secara bawaan (default)—untuk terhubung ke server TrueConf tanpa perlu proses otentikasi.
Eksploitasi dilancarkan menggunakan dua rantai celah kerentanan internal, yakni KLCERT-26-057 untuk menjalankan skrip berbahaya di dalam lingkungan terisolasi TrueConf, serta KLCERT-26-058 untuk meloloskan diri dari sandbox dan mengeksekusi perintah langsung pada sistem operasi utama.
Setelah berhasil menaikkan hak akses hingga ke tingkat NT AUTHORITY\SYSTEM, peretas mengganti berkas \public\js\locale.php dengan web shell guna mempertahankan akses jarak jauh secara permanen. Lewat web shell tersebut, pelaku mengambil data sensitif, mengakses basis data TrueConf, lalu mengganti berkas installer TrueConf Client resmi yang di-host pada server dengan versi palsu yang berisi backdoor PhantomCore.
Saat karyawan atau pengguna terhubung ke server TrueConf lokal yang telah terkompromi, sistem akan mengunduh pembaruan berupa berkas instalasi terinfeksi yang tidak memiliki tanda tangan digital (non-digitally signed). Kaspersky memperingatkan bahwa bahaya juga mengintai organisasi yang tidak memiliki server TrueConf sendiri, apabila karyawan mereka terhubung ke server milik mitra eksternal yang sudah diretas saat menghadiri rapat daring.
Selain PhantomCore, peretas juga menyebarkan backdoor PhantomGraph yang memanfaatkan akun Microsoft OneDrive sebagai saluran perintah dan kendali (command-and-control). Melalui PhantomGraph, pelaku melakukan pengurasan memori proses Local Security Authority Subsystem Service (LSASS) untuk mencuri kredensial, menjalankan pemindaian sistem, serta membuka reverse SSH tunnel.
Kaspersky mencatat gelombang serangan aktif Head Mare ini membidik berbagai sektor krusial di Rusia, mulai dari transportasi, energi, elektronik, teknologi informasi, hingga pengembang perangkat lunak.
Celah keamanan yang dieksploitasi dilaporkan berdampak pada TrueConf Server versi 5.3.x (sebelum 5.3.9), 5.4.x (sebelum 5.4.9), serta 5.5.x (sebelum 5.5.5). Pihak pengembang telah merilis perbaikan keamanan untuk menutup celah tersebut pada pembaruan versi 5.3.9, 5.4.9, dan 5.5.5.
Sumber: Kaspersky
