Head Mare เจาะเซิร์ฟเวอร์ TrueConf สลับไฟล์ติดตั้งไคลเอนต์เป็นเวอร์ชันฝังแบ็กดอร์ PhantomCore

สรุปสั้น

กลุ่มผู้ก่อภัยคุกคามที่รู้จักกันในชื่อ Head Mare ถูกพบว่ากลับมาใช้ช่องโหว่ในเซิร์ฟเวอร์ TrueConf ที่ยังไม่ได้ติดตั้งแพตช์เป็นอาวุธอีกครั้ง ในการโจมตีที่พุ่งเป้าไปยังบริษัทในรัสเซียที่ทำธุรกิจด้านเครื่องมือวัด อิเล็กทรอนิกส์ ขนส่ง พลังงาน ไอที และการพัฒนาซอฟต์แวร์ โดยบริษัท Kaspersky ผู้ให้บริการด้านความปลอดภัยไซเบอร์ของรัสเซียระบุว่าตรวจพบการโจมตีชุดนี้เมื่อเดือนกรกฎาคม 2569 กิจกรรมดังกล่าวเกี่ยวข้องกับการใช้ช่องโหว่ต่อกันเป็นสายในเซิร์ฟเวอร์ประชุมทางวิดีโอ TrueConf เพื่อสลับไฟล์ติดตั้งไคลเอนต์ TrueConf ตัวจริงให้กลายเป็นเวอร์ชันที่ถูกวางยา ซึ่งจะส่งแบ็กดอร์และโทรจันเข้าถึงระยะไกลชื่อ PhantomCore เข้าไปในเครื่องของผู้ใช้ที่ดาวน์โหลดไปติดตั้ง

ช่องโหว่ที่ถูกใช้ถูกติดตามในหมายเลข KLCERT-26-057 และ KLCERT-26-058 ซึ่งเปิดทางให้รันโค้ดตามอำเภอใจด้วยสิทธิ์ที่ยกระดับแล้ว การโจมตีกระทบ TrueConf server รุ่น 5.3.x จนถึง 5.3.9 รุ่น 5.4.x จนถึง 5.4.9 รุ่น 5.5.x จนถึง 5.5.5 และรุ่นเก่ากว่านั้น สิ่งที่ทำให้เหตุการณ์นี้อันตรายกว่าการเจาะเซิร์ฟเวอร์ทั่วไปคือผู้โจมตีไม่ได้หยุดที่การยึดเครื่องแม่ข่าย แต่ใช้เครื่องแม่ข่ายเป็นจุดกระจายมัลแวร์ต่อไปยังพนักงานทุกคนที่ดาวน์โหลดโปรแกรมไคลเอนต์จากที่นั่น เท่ากับเปลี่ยนช่องทางแจกจ่ายซอฟต์แวร์ภายในองค์กรให้กลายเป็นช่องทางแพร่มัลแวร์ ผู้ผลิตได้ออกแพตช์แก้ไขแล้วใน TrueConf Server รุ่น 5.3.9, 5.4.9 และ 5.5.5 ซึ่งเผยแพร่เมื่อวันที่ 18 มิถุนายน 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 10 สิงหาคม พ.ศ. 2569 ว่า Head Mare กลับมาใช้ช่องโหว่ในเซิร์ฟเวอร์ TrueConf โจมตีองค์กรรัสเซียอีกครั้ง โดย Kaspersky ตรวจพบกิจกรรมในเดือนกรกฎาคม 2569 และพบว่าเป้าหมายกระจายอยู่ในหลายอุตสาหกรรมที่มีความสำคัญเชิงยุทธศาสตร์

นี่ไม่ใช่ครั้งแรกที่ Head Mare เล็งช่องโหว่แบบซีโรเดย์ใน TrueConf เพื่อเจาะองค์กรรัสเซีย เมื่อเดือนเมษายนที่ผ่านมา บริษัท Positive Technologies เคยเปิดเผยว่าช่องโหว่สามตัวในซอฟต์แวร์ตัวนี้ ได้แก่ BDU:2025-10114, BDU:2025-10115 และ BDU-2025-10116 ถูกกลุ่มนี้นำไปใช้ตั้งแต่เดือนกันยายน 2568 เพื่อวางเว็บเชลล์ PHP และเพย์โหลดสำหรับขโมยข้อมูลและรันคำสั่ง รูปแบบที่ซ้ำเดิมบ่งชี้ว่ากลุ่มนี้ศึกษาผลิตภัณฑ์ตัวนี้อย่างต่อเนื่องและถือเป็นเป้าประจำ

ในช่วงเวลาใกล้เคียงกัน บริษัท Check Point ก็เคยรายงานว่าช่องโหว่ระดับ high อีกตัวหนึ่งในไคลเอนต์ของ TrueConf ซึ่งติดตามในหมายเลข CVE-2026-3502 ถูกใช้โจมตีจริงในลักษณะซีโรเดย์ โดยเป็นส่วนหนึ่งของแคมเปญที่พุ่งเป้าไปยังหน่วยงานรัฐในภูมิภาคเอเชียตะวันออกเฉียงใต้ เพื่อติดตั้งเฟรมเวิร์กสั่งการ Havoc ประเด็นนี้แยกจากแคมเปญของ Head Mare แต่มีความหมายในเชิงภูมิภาค เพราะแสดงว่าผลิตภัณฑ์ TrueConf ถูกใช้เป็นเป้าโจมตีของผู้ก่อเหตุมากกว่าหนึ่งกลุ่ม และเหยื่อไม่ได้จำกัดอยู่แค่ในรัสเซีย

รายงานฉบับนี้ยังกล่าวถึงอีกเหตุการณ์หนึ่งที่เกิดขึ้นก่อนหน้าไม่กี่สัปดาห์ คือการที่ Kaspersky พบการโจมตีลักษณะ APT ซึ่งดำเนินมาตั้งแต่อย่างน้อยเดือนพฤษภาคม 2569 โดยอาศัยกลไกอัปเดตของชุดผลิตภัณฑ์ ViPNet เจาะหน่วยงานรัฐและภาคพลังงาน ขนส่ง การศึกษา และโลจิสติกส์ของรัสเซีย แคมเปญนี้ใช้ชื่อเรียกว่า HelloNet และเว็บไซต์นี้เคยรายงานรายละเอียดไว้แล้วในโพสต์ HelloNet — ผู้โจมตีฉวยใช้ระบบอัปเดตของ ViPNet เจาะหน่วยงานรัฐและโครงสร้างพื้นฐานของรัสเซีย โดยสรุปคือมีการโหลด DLL ปลอมชื่อ wtsapi32.dll ผ่านกลไก sideload ของไบนารีอัปเดต itcsrvup64.exe แล้วฉีดตัวเองเข้าไปทำงานใน svchost.exe พร้อมปล่อยเครื่องมือชุด HelloInjector, HelloProxy, HelloExecutor, HelloCleaner และอิมแพลนต์ภาษา Rust ชื่อ HelloBackdoor ทั้งนี้ Kaspersky เชื่อมโยงกิจกรรมกับกลุ่ม APT ที่พูดภาษาจีนซึ่งยังไม่ทราบชื่อด้วยความเชื่อมั่นระดับต่ำ โดยอ้างอิงจากร่องรอยที่ชี้ไปยังเว็บไซต์ sina[.]com และมิเรอร์ดาวน์โหลดซอฟต์แวร์โอเพนซอร์ส mirrors.ustc.edu[.]cn ของมหาวิทยาลัยวิทยาศาสตร์และเทคโนโลยีแห่งประเทศจีน

วิธีการโจมตี

สายการโจมตีของ Head Mare เริ่มจากการเชื่อมต่อไปยังเซิร์ฟเวอร์ TrueConf ที่พอร์ต TCP 4307 ซึ่งเปิดอยู่เป็นค่าเริ่มต้น เมื่อเชื่อมต่อสำเร็จ ผู้โจมตีจะใช้ช่องโหว่ KLCERT-26-057 เพื่อรันสคริปต์ประสงค์ร้ายบนเซิร์ฟเวอร์ สคริปต์นั้นจะเริ่มทำงานอยู่ในสภาพแวดล้อมแยกส่วนบนเซิร์ฟเวอร์ ซึ่งจำกัดการเข้าถึงฟังก์ชันของระบบปฏิบัติการไว้ ผู้โจมตีจึงใช้ช่องโหว่ตัวที่สองคือ KLCERT-26-058 เพื่อหลุดออกจากสภาพแวดล้อมแยกส่วนนั้น และรันคำสั่งตามอำเภอใจบนโฮสต์จริงที่อยู่ข้างใต้ ผลลัพธ์คือการรันโค้ดบนเซิร์ฟเวอร์ด้วยสิทธิ์ NT AUTHORITY\SYSTEM

จากนั้นผู้โจมตีจะแทนที่ไฟล์ที่พาธ …\public\js\locale.php ด้วยเว็บเชลล์ เพื่อคงช่องทางเข้าถึงระยะไกลไว้อย่างถาวร Kaspersky ระบุว่าเว็บเชลล์ตัวนี้ถูกใช้เก็บข้อมูลเกี่ยวกับโครงสร้างพื้นฐานไอทีขององค์กร เข้าถึงฐานข้อมูลของ TrueConf ในระดับสิทธิ์สูง และท้ายที่สุดใช้แทนที่ไฟล์แจกจ่าย TrueConf Client ตัวจริงด้วยเวอร์ชันที่ติดเชื้อและมี PhantomCore ฝังอยู่

เว็บเชลล์ยังทำหน้าที่เป็นช่องทางส่งแบ็กดอร์อีกตัวหนึ่งที่ใช้ชื่อรหัสว่า PhantomGraph ซึ่งมีโค้ดทับซ้อนกับ PhantomCore อยู่บ้าง และประกอบด้วยโมดูล DLL สองตัว ตัวแรกคือ SysExcSvc.dll ทำหน้าที่รับคำสั่งและส่งผลลัพธ์กลับออกไปยังพื้นที่เก็บข้อมูลบนคลาวด์ Microsoft OneDrive ที่ถูกใช้เป็นเซิร์ฟเวอร์สั่งการและควบคุม ส่วนตัวที่สองคือ SysReadSvc.dll ทำหน้าที่แยกวิเคราะห์คำสั่งที่โมดูลแรกรับมา สั่งประมวลผล และเก็บผลลัพธ์ไว้ Kaspersky ระบุว่า “เพื่อสร้างการคงอยู่ในระบบ ผู้โจมตีรันคำสั่ง PowerShell ที่เข้ารหัสแบบ Base64 เพื่อติดตั้ง SysExcSvc.dll และ SysReadSvc.dll เป็นบริการของ Windows” พร้อมประเมินว่า “เราเชื่อว่าผู้โจมตีจงใจแยกมัลแวร์ออกเป็นสองส่วนเพื่อให้เครื่องมือ EDR ตรวจจับได้ยากขึ้น”

นอกจากนี้ผู้ก่อเหตุยังถูกพบว่าเปิดอุโมงค์ SSH ย้อนกลับ ดัมป์หน่วยความจำของโปรเซส lsass.exe เพื่อดึงข้อมูลรับรองตัวตน และเก็บข้อมูลระบบทั่วไปด้วยคำสั่งพื้นฐานอย่าง hostname และ whoami ซึ่งเป็นชุดพฤติกรรมมาตรฐานของการสำรวจเครือข่ายก่อนขยายผล

ผลกระทบ

จุดที่ทำให้การโจมตีครั้งนี้ต่างจากการเจาะเซิร์ฟเวอร์ทั่วไปคือการเปลี่ยนช่องทางแจกจ่ายซอฟต์แวร์ที่พนักงานเชื่อถือให้กลายเป็นช่องทางแพร่มัลแวร์ พนักงานที่ดาวน์โหลดไคลเอนต์ TrueConf จากเซิร์ฟเวอร์ขององค์กรตัวเองไม่มีทางสงสัยได้เลย เพราะเป็นแหล่งที่ฝ่ายไอทีบอกให้ใช้ ผลคือผู้โจมตีขยายจากการยึดเครื่องแม่ข่ายหนึ่งเครื่อง ไปสู่การวางแบ็กดอร์บนเครื่องปลายทางจำนวนมากในคราวเดียว

การเลือกใช้ Microsoft OneDrive เป็นช่องทางสั่งการก็เป็นประเด็นที่ทีมเฝ้าระวังต้องรับมือ เพราะทราฟฟิกที่วิ่งไปยังบริการคลาวด์ของ Microsoft มักถูกจัดเป็นทราฟฟิกปกติในองค์กรที่ใช้ Microsoft 365 อยู่แล้ว การแยกแยะระหว่างการซิงก์ไฟล์ทั่วไปกับการรับคำสั่งของมัลแวร์จึงต้องอาศัยการวิเคราะห์พฤติกรรมมากกว่าการบล็อกโดเมน เช่นเดียวกับการแยกมัลแวร์ออกเป็นสอง DLL ซึ่งเป็นการออกแบบเพื่อหลบ EDR โดยตรง เพราะแต่ละชิ้นเมื่อดูแยกกันจะไม่แสดงพฤติกรรมครบวงจรพอให้ระบบตัดสินว่าเป็นภัยคุกคาม

ข้อจำกัดของหลักฐานที่ควรระบุคือรายงานไม่ได้เปิดเผยจำนวนองค์กรที่ตกเป็นเหยื่อ ไม่ระบุชื่อบริษัทใด และไม่ได้บอกว่ามีเครื่องปลายทางกี่เครื่องที่ติดตั้งไคลเอนต์ที่ถูกวางยาไปแล้ว ทั้งหมดเป็นการรายงานจากผู้ให้บริการรายเดียวคือ Kaspersky ซึ่งมีเทเลเมทรีหนาแน่นในตลาดรัสเซียเป็นพิเศษ ส่วนการเชื่อมโยงแคมเปญ HelloNet กับกลุ่มที่พูดภาษาจีนนั้นผู้วิจัยเองระบุว่าเป็นการประเมินด้วยความเชื่อมั่นระดับต่ำ จึงไม่ควรนำไปอ้างเป็นการชี้ตัวผู้กระทำ

คำแนะนำ

องค์กรที่ใช้ TrueConf Server ควรตรวจสอบเวอร์ชันทันทีและอัปเดตเป็นรุ่น 5.3.9, 5.4.9 หรือ 5.5.5 ขึ้นไปตามสายที่ใช้งานอยู่ เนื่องจากแพตช์ออกมาตั้งแต่วันที่ 18 มิถุนายน 2569 แล้ว องค์กรที่ยังไม่ได้อัปเดตจึงเปิดช่องไว้มาแล้วเกือบสองเดือน พร้อมกันนั้นควรจำกัดการเข้าถึงพอร์ต TCP 4307 จากภายนอกเครือข่าย เพราะพอร์ตนี้เปิดเป็นค่าเริ่มต้นและเป็นจุดเริ่มต้นของสายการโจมตีทั้งหมด

ในด้านการตรวจสอบย้อนหลัง ควรตรวจไฟล์ที่พาธ …\public\js\locale.php ว่าถูกแก้ไขหรือไม่ ตรวจหาบริการของ Windows ที่ถูกสร้างใหม่ซึ่งอ้างอิงไฟล์ SysExcSvc.dll หรือ SysReadSvc.dll และค้นล็อกหาการรัน PowerShell ที่มีคำสั่งเข้ารหัส Base64 นอกจากนี้ควรมองหาสัญญาณของการดัมป์ lsass.exe และการเปิดอุโมงค์ SSH ย้อนกลับออกไปยังปลายทางภายนอก

ประเด็นที่มักถูกมองข้ามคือการตรวจสอบไฟล์ติดตั้งไคลเอนต์ที่แจกจ่ายอยู่บนเซิร์ฟเวอร์ องค์กรที่พบว่าเซิร์ฟเวอร์ของตนถูกเจาะควรถือว่าไฟล์ติดตั้งทุกตัวที่อยู่บนเครื่องนั้นไม่น่าเชื่อถือ ต้องนำไฟล์ใหม่จากผู้ผลิตมาแทนที่ ตรวจสอบลายเซ็นดิจิทัลก่อนแจกจ่าย และไล่ตรวจเครื่องปลายทางทุกเครื่องที่เคยดาวน์โหลดไคลเอนต์ไปในช่วงที่เซิร์ฟเวอร์อยู่ในสภาพถูกยึด การแพตช์เซิร์ฟเวอร์อย่างเดียวไม่ช่วยอะไรถ้าแบ็กดอร์ถูกกระจายไปที่เครื่องพนักงานเรียบร้อยแล้ว

สุดท้าย ควรทบทวนกฎการเฝ้าระวังทราฟฟิกที่วิ่งไปยังบริการคลาวด์ที่อยู่ในรายการอนุญาต โดยเฉพาะ OneDrive เพราะการใช้บริการที่องค์กรอนุญาตอยู่แล้วเป็นช่องทางสั่งการเป็นเทคนิคที่แพร่หลายขึ้นเรื่อย ๆ และการบล็อกโดเมนแบบเหมารวมมักทำไม่ได้ในทางปฏิบัติ

Indicators of Compromise (IoCs)

ตัวบ่งชี้ defang แล้ว โดเมนสองรายการท้ายตารางเป็นร่องรอยของแคมเปญ HelloNet ซึ่งเป็นคนละกลุ่มกับ Head Mare

แหล่งอ้างอิง

• TrueConf Server Flaws Exploited to Replace Client Installers with PhantomCore — The Hacker News
• Head Mare Targets TrueConf Server with PhantomCore — Securelist
• HelloNet: ViPNet Update Mechanism Hijacked — Securelist