Kaspersky zufolge erfolgte der Zugriff über TCP-Port 4307, der bei TrueConf standardmäßig offen ist. Die Forscher berichten, dass Head Mare sich darüber ohne Authentifizierung mit dem angegriffenen TrueConf-Server verband. Anschließend missbrauchte die Gruppe eine von Kaspersky intern als KLCERT-26-057 geführte Schwachstelle, um ein schädliches Skript in der isolierten TrueConf-Umgebung auszuführen, sowie KLCERT-26-058, um die Sandbox zu verlassen und Befehle auf dem darunterliegenden Betriebssystem auszuführen.
Nach dem Ausbruch aus der Sandbox erhöhte der Angreifer seine Rechte auf NT AUTHORITY\SYSTEM. Danach ersetzte er laut Kaspersky die Datei „\public\js\locale.php“ durch eine Web-Shell, die einen dauerhaften Fernzugang zum kompromittierten Server ermöglichte. Über diese Web-Shell sammelt Head Mare den Angaben zufolge sensible Informationen aus der Umgebung des Opfers, greift auf die TrueConf-Datenbank zu und tauscht den legitimen, auf dem Server bereitgestellten Installer des TrueConf Client gegen eine schädliche Version mit der PhantomCore-Backdoor aus.
Für die betroffene Organisation wirkt die Manipulation wie ein normales Update: Wenn Mitglieder der Organisation eine Verbindung zum lokalen TrueConf-Server aufbauen, erhalten sie einen trojanisierten, nicht digital signierten Client-Installer. Kaspersky warnt zudem, dass auch Organisationen ohne eigenen TrueConf-Server betroffen sein können. Beschäftigte könnten sich mit kompromittierten TrueConf-Servern von Geschäftspartnern zu Online-Besprechungen verbinden und dabei infizierte Installationspakete herunterladen.
Zusätzlich setzt Head Mare laut Kaspersky PhantomGraph ein, eine weitere Hintertür aus zwei DLL-Dateien namens SysExcSvc.dll und SysReadSvc.dll. Diese Backdoor nimmt Befehle über ein Microsoft-OneDrive-Konto entgegen, führt sie aus und sendet die Ergebnisse zurück. Beobachtete Aktivitäten über PhantomGraph umfassten unter anderem das Auslesen des Speichers des Prozesses Local Security Authority Subsystem Service (LSASS), um Anmeldedaten abzuziehen.
Die Schadsoftware führt außerdem Erkundungsbefehle wie „hostname“ und „whoami“ aus und startet einen umgekehrten SSH-Tunnel. Kaspersky beobachtet nach eigenen Angaben derzeit mehrere aktive Head-Mare-Kampagnen gegen russische Organisationen aus verschiedenen Bereichen, darunter Messtechnik, Elektronik, Transport, Energie, IT und Softwareentwicklung. Als Zugangswege nutzt die Gruppe laut den Forschern mehrere Methoden, darunter Phishing, die Ausnutzung öffentlich erreichbarer Webserver und Zugriffe über Auftragnehmer.
Die beiden von Kaspersky in Angriffen beobachteten Schwachstellen betreffen TrueConf Server 5.3.x vor 5.3.9, 5.4.x vor 5.4.9, 5.5.x vor 5.5.5 sowie ältere Versionen. Der Hersteller hat die Lücken in den Versionen 5.3.9, 5.4.9 und 5.5.5 behoben, die am 18. Juni veröffentlicht wurden.
Bereits im April 2026 hatte CheckPoint Research berichtet, dass Angreifer eine Zero-Day-Schwachstelle zur willkürlichen Dateiausführung in TrueConf mit der Kennung CVE-2026-3502 ausnutzten und Nutzer über trojanisierte Client-Updates kompromittierten. CheckPoint nannte die Kampagne „Operation True Chaos“ und schrieb sie vorläufig chinesischen Bedrohungsakteuren zu, die bei diesen Angriffen das Implantat Havoc einsetzten.