Bei den ausgenutzten Schwachstellen handelt es sich um drei Lücken im TrueConf Server. Ihre erfolgreiche Verkettung ermöglicht es einem Angreifer laut Positive Technologies, die Authentifizierung zu umgehen und Zugang zum Netzwerk einer Organisation zu erlangen. TrueConf veröffentlichte die zugehörigen Sicherheitspatches am 27. August 2025; die ersten Angriffe auf TrueConf-Server registrierte das Sicherheitsunternehmen jedoch erst um Mitte September 2025.
War ein TrueConf Server erst kompromittiert, nutzten die Angreifer ihn als Sprungbrett, um sich lateral durch das interne Netzwerk zu bewegen. Sie schleusten Schadcode ein, der Aufklärung, das Umgehen von Sicherheitsmechanismen und das Abgreifen von Zugangsdaten ermöglichte, und richteten über Tunneling-Werkzeuge Kommunikationskanäle ein.
In mindestens einem erfolgreichen Fall führte der Angriff zur Installation einer PHP-basierten Web-Shell, die Dateien auf das infizierte System hochladen und entfernte Befehle ausführen kann. Hinzu kam eine PHP-Datei, die als Proxy-Server fungiert, um schädliche Anfragen als von einem legitimen Server stammend zu tarnen. Bei einzelnen Einbrüchen kam zudem eine DLL zum Einsatz, die auf dem kompromittierten Videokonferenzserver ein betrügerisches Benutzerkonto namens „TrueConf2" mit Administratorrechten anlegte.
Daneben setzte PhantomCore auf Phishing als Einstiegsweg in russische Organisationen – zuletzt im Januar und Februar 2026. Dabei verteilte die Gruppe über präparierte ZIP- oder RAR-Archive eine Backdoor, die entfernte Befehle ausführen und beliebige Schadprogramme nachladen kann.
Nach Einschätzung der Forscher zählt PhantomCore zu den aktivsten Gruppen in der russischen Bedrohungslandschaft. Ihr Arsenal umfasst sowohl frei verfügbare Werkzeuge wie Velociraptor, Memprocfs, Dokan und DumpIt als auch eigenentwickelte Tools wie MacTunnelRAT, PhantomSscp und PhantomProxyLite. Ziel sind staatliche wie private Organisationen aus den unterschiedlichsten Branchen. Die Gruppe suche aktiv nach Schwachstellen in einheimischer Software, entwickle dafür Exploits und verschaffe sich so Zugang zu einer großen Zahl russischer Unternehmen.
PhantomCore ist nur eine von mehreren Gruppierungen, die russische Ziele angreifen. So nahm in den vergangenen Monaten eine finanziell motivierte Gruppe namens CapFIX die russische Industrie- und Luftfahrtbranche mit Phishing-Kampagnen ins Visier, um die Backdoor CapDoor auszuspielen. Diese kann PowerShell-Befehle, DLLs und ausführbare Dateien von einem entfernten Server abrufen, MSI-Dateien installieren und Screenshots anfertigen. Der Name verweist darauf, dass CapDoor erstmals 2025 entdeckt wurde – verbreitet über die Social-Engineering-Taktik ClickFix. Eine genauere Analyse der Kampagnen aus Oktober und November 2025 zeigte, dass die Gruppe über ClickFix auch fertige Schadprogramme wie AsyncRAT und SectopRAT verteilt. Laut Positive Technologies tarnt CapFIX seine E-Mails zunehmend als offizielle Mitteilungen von Behörden, während sie zuvor vor allem auf finanzthematische Köder setzte.
Nach Angaben des russischen Sicherheitsunternehmens BI.ZONE agieren diese Gruppen trotz gemeinsamer Ziele und ähnlicher Techniken eigenständig, ohne Anzeichen direkter Koordination. So kapere Paper Werewolf etwa Telegram-Konten, um sie vermutlich als vertrauenswürdige Kanäle für künftige Angriffe zu nutzen, während Versatile Werewolf generative KI einsetzt, um seine Angriffswerkzeuge schneller zu entwickeln.