Nach Darstellung von Kaspersky beginnt die Angriffskette mit einer Webshell. Diese dient dazu, Informationen über die IT-Infrastruktur zu sammeln, privilegierten Zugriff auf die TrueConf-Datenbank zu erlangen und schließlich die originale Verteilung des TrueConf-Clients gegen eine infizierte Fassung mit PhantomCore auszutauschen.
Die Webshell fungiert zudem als Transportweg für einen weiteren Backdoor-Baustein mit dem Namen PhantomGraph. Laut Kaspersky weist er gewisse Code-Überschneidungen mit PhantomCore auf und besteht aus zwei DLL-Modulen. „SysExcSvc.dll“ empfängt Befehle und schleust deren Ergebnisse in den Microsoft-OneDrive-Cloudspeicher aus, der als Kommando-und-Kontroll-Infrastruktur dient. „SysReadSvc.dll“ analysiert die vom ersten Modul empfangenen Befehle, führt sie aus und speichert die Resultate.
Für eine dauerhafte Verankerung im System setzen die Angreifer laut Kaspersky einen Base64-kodierten PowerShell-Befehl ein, der „SysExcSvc.dll“ und „SysReadSvc.dll“ als Windows-Dienste installiert. Kaspersky geht davon aus, dass die Aufteilung der Schadsoftware in zwei Komponenten absichtlich erfolgt, um die Erkennung durch EDR-Werkzeuge zu erschweren.
Zusätzlich beobachtete der Anbieter, dass die Angreifer einen SSH-Reverse-Tunnel aufbauen, einen Speicherabbild-Abzug des Prozesses „lsass.exe“ anfertigen und allgemeine Systeminformationen mit Befehlen wie „hostname“ und „whoami“ einsammeln.
Die jetzt dokumentierten Vorfälle sind nicht der erste Fall, in dem Head Mare TrueConf ins Visier nimmt. Bereits im April hatte Positive Technologies offengelegt, dass die Gruppe seit September 2025 drei Schwachstellen in der Software ausnutzte: BDU:2025-10114, BDU:2025-10115 und BDU-2025-10116. Diese dienten demnach dazu, PHP-Webshells und schädliche Nutzlasten zur Informationsbeschaffung und Befehlsausführung einzuschleusen.
Zur gleichen Zeit berichtete Check Point über eine weitere schwerwiegende Schwachstelle im TrueConf-Client, CVE-2026-3502. Diese wurde demnach bereits als Zero-Day in freier Wildbahn ausgenutzt. Die Kampagne richtete sich laut Check Point gegen Regierungsstellen in Südostasien und diente dazu, das Havoc-C2-Framework zu installieren.
Der Bericht steht zudem im Kontext einer weiteren Beobachtung von Kaspersky aus den vergangenen Wochen. Demnach entdeckte das Unternehmen eine neue, APT-artige Angriffskampagne, die seit mindestens Mai 2026 läuft und bislang nicht dokumentierte Werkzeuge einsetzt. Im Mittelpunkt steht dort der Missbrauch des Update-Mechanismus der ViPNet-Produktreihe gegen Ziele aus russischen Regierungs-, Energie-, Transport-, Bildungs- und Logistikbereichen.
Bei diesem als HelloNet bezeichneten Angriff wird eine schädliche DLL namens „wtsapi32.dll“ ausgeführt, die sich als legitime Datei des ViPNet-Update-Systems tarnt. Die Loader-DLL mit der Bezeichnung HelloInjector wird über die ViPNet-Update-Binärdatei „itcsrvup64.exe“ per Sideloading geladen, sodass die schädliche Nutzlast innerhalb von „svchost.exe“ ausgeführt wird. Laut Kaspersky prüft die Malware zunächst den Prozesskontext. Läuft sie nicht in „svchost.exe“, durchsucht der Loader alle Prozesse nach einem Namen mit „svchost“ und einer Kommandozeile mit „netsvcs“ und injiziert sich dann über die Funktionen NtWriteVirtualMemory und NtCreateThreadEx in das Ziel.
Nach dem Neustart in dem neuen Prozess lädt HelloInjector die im Klartext im Programmkörper abgelegte Schadkomponente HelloProxy. Diese fungiert als versteckter Proxy und als Loader für weitere Module von einem C2-Server. Auf einem der infizierten Systeme fand Kaspersky außerdem ein Rust-Implantat namens HelloBackdoor, das Datei-Uploads und -Downloads zum und vom C2-Server ermöglicht. Befehle, die nicht dem vorgegebenen Format entsprechen, werden über „cmd.exe“ ausgeführt. Kaspersky ordnet die Aktivitäten mit niedriger Sicherheit einer unbekannten chinesischsprachigen APT-Gruppe zu und verweist dabei auf einen Bezug zur chinesischen Website sina[.]com sowie auf den von der University of Science and Technology of China betriebenen Open-Source-Download-Spiegel „mirrors.ustc.edu[.]cn“.