كشفت شركة كاسبرسكي عن حملة هجمات سيبرانية متعددة المراحل شنتها مجموعة الهجمات المتقدمة المستمرة Head Mare APT ضد عدد من المؤسسات، مستغلة ثغرات أمنية في خوادم برنامج TrueConf المخصصة لعقد مؤتمرات الفيديو، وذلك لزرع أدوات خبيثة من بينها PhantomCore وPhantomGraph.
وأوضحت كاسبرسكي أن المهاجمين يستهدفون خوادم TrueConf التي لم تحصل على التحديثات الأمنية اللازمة، كما يمكنهم استغلال الخوادم المخترقة لاستبدال حزم تثبيت البرنامج المخصصة للمستخدمين بأخرى مصابة ببرمجيات خبيثة.
ثغرات أمنية تتيح تنفيذ أوامر بصلاحيات كاملة
استغل المهاجمون ثغرتين أمنيتين في خوادم TrueConf، تحملان الرمزين KLCERT-26-057 وKLCERT-26-058 وفق تسمية كاسبرسكي.
وتتيح الثغرتان للمهاجمين تشغيل نصوص برمجية بصلاحيات كاملة على الخادم، وهو ما يمكنهم من تغيير أحد ملفات الخادم واستبداله ببرنامج Web Shell خبيث خاص بهم.
وبعد تثبيت الـWeb Shell، تمكن المهاجمون من جمع معلومات عن البنية التحتية لتكنولوجيا المعلومات لدى المؤسسات المستهدفة، والحصول على صلاحيات وصول مميزة إلى قاعدة بيانات خادم TrueConf، فضلًا عن تعديل برنامج التثبيت المقدم للمستخدمين.
الإصدارات المتأثرة من TrueConf
تشمل الحملة خوادم TrueConf التي تعمل بالإصدارات التالية:
- إصدارات 5.3.X التي تسبق الإصدار 5.3.9.
- إصدارات 5.4.X التي تسبق الإصدار 5.4.9.
- إصدارات 5.5.X التي تسبق الإصدار 5.5.5.
- الإصدارات الأقدم من ذلك.
وأفادت كاسبرسكي بأنها أبلغت الشركة المطورة لبرنامج TrueConf بالهجمات والثغرات، حيث جرى إصلاح الثغرات في آخر تحديث أمني لخادم TrueConf، الصادر في 18 يونيو 2026، والذي شمل الإصدارات 5.3.9 و5.4.9 و5.5.5.
كيف يستهدف الهجوم مستخدمي مؤتمرات الفيديو؟
تكمن خطورة الحملة في أن الخطر لا يتوقف عند المؤسسة التي تستخدم خادم TrueConf المخترق.
فعندما يتصل المستخدمون باجتماع فيديو مستضاف على خادم مخترق، قد يُطلب منهم تحميل وتثبيت ما يبدو أنه إصدار محدث من تطبيق TrueConf.
لكن بدلًا من الحصول على تحديث شرعي، قد يقوم المستخدم بتنزيل حزمة تثبيت مصابة ببرمجيات خبيثة، ما يتيح للمهاجمين توسيع نطاق الاختراق والوصول إلى أجهزة ومؤسسات أخرى.
وبذلك يمكن أن تتحول خوادم مؤتمرات الفيديو المخترقة إلى نقطة انطلاق لهجمات تستهدف أطرافًا أخرى، حتى إذا لم تكن تلك المؤسسات تستخدم خوادم TrueConf الخاصة بها.
كاسبرسكي تحذر من اتساع نطاق التهديد
قال يفغيني غونشاروف، رئيس فريق الاستجابة لطوارئ أنظمة التحكم الصناعي لدى كاسبرسكي، إن استغلال الثغرات الأمنية في الخدمات العامة يعد من الأساليب الشائعة التي يستخدمها المهاجمون.
وأشار إلى أن خطورة الحملة الحالية تكمن في إمكانية امتداد تأثيرها إلى مؤسسات لا تستخدم برنامج TrueConf، إذ قد يتصل موظفوها بخوادم مخترقة عبر دعوات للمشاركة في اجتماعات فيديو مع شركات أخرى.
وأوضح أن تحميل حزم تثبيت مصابة دون علم المستخدمين قد يفتح المجال أمام اختراق عدد كبير من الشركات في دول مختلفة.
Kaspersky EDR يرصد النشاط الخبيث
أفادت كاسبرسكي بأن حل Kaspersky Endpoint Detection and Response Expert قادر على اكتشاف هذا النشاط الخبيث.
وتأتي هذه الإمكانية في إطار أهمية حلول اكتشاف واستجابة النقاط الطرفية في رصد السلوكيات المشبوهة ومحاولات الاختراق التي قد لا تعتمد فقط على برمجيات خبيثة تقليدية.
توصيات لتقليل مخاطر الاختراق
دعت كاسبرسكي المؤسسات إلى اتخاذ مجموعة من الإجراءات للحد من مخاطر هذه الحملة، وفي مقدمتها:
- تحديث خوادم TrueConf إلى الإصدارات 5.5.5 أو 5.4.9 أو 5.3.9، بحسب الإصدار المستخدم.
- البحث عن مؤشرات الاختراق داخل الأنظمة، وتغيير كلمات مرور الحسابات التي يُحتمل تعرضها للاختراق بصورة غير مجدولة عند اكتشاف مؤشرات مشبوهة.
- إجراء فحص أمني شامل باستخدام حلول حماية مزودة بأحدث قواعد بيانات مكافحة البرمجيات الخبيثة.
- مراقبة الثغرات الأمنية بصورة مستمرة ومعالجتها فور توفر التحديثات الأمنية.
- تزويد فرق أمن المعلومات بأحدث المعلومات المتعلقة بتكتيكات وتقنيات وإجراءات المهاجمين، والاستفادة من حلول استخبارات التهديدات السيبرانية.
- استخدام حلول أمنية متكاملة تساعد على بناء منظومة دفاع سيبراني أكثر مرونة وفعالية.
تحديث خوادم TrueConf خطوة أساسية
تؤكد الحملة أهمية التعامل السريع مع تحديثات الأمن السيبراني، خصوصًا عندما يتعلق الأمر بخوادم متصلة بالإنترنت ويمكن أن تمثل نقطة وصول إلى البنية التحتية الرقمية للمؤسسة.
ولا يقتصر الخطر في هذه الحالة على الخادم نفسه، إذ يمكن للمهاجمين استغلال الثقة التي يضعها المستخدمون في تحديثات البرامج لتوزيع برمجيات خبيثة على أجهزة المشاركين في اجتماعات الفيديو.
لذلك، يمثل تحديث خوادم TrueConf إلى الإصدارات الآمنة، والتحقق من سلامة حزم التثبيت، وفحص الأنظمة بحثًا عن مؤشرات الاختراق خطوات أساسية للحد من تداعيات الحملة.
وتأتي هذه التحذيرات في ظل استمرار استغلال الثغرات غير المعالجة كأحد أبرز مسارات الهجوم السيبراني، ما يجعل الإدارة المستمرة للتحديثات الأمنية ومراقبة البنية التحتية الرقمية عنصرين أساسيين في حماية المؤسسات من الهجمات متعددة المراحل.
