RED Security и СICADA8 предупреждают об атаках с использованием уязвимостей в старых версиях TrueConf

Имеющаяся на данный момент информация позволяет предположить, что за этими атаками стоит группировка Head Mare, которая ранее брала на себя ответственность за ряд громких инцидентов информационной безопасности в крупных российских организациях.

🧨 Кill Chain:
▪️ эксплуатация известных уязвимостей в TrueConf (BDU:2025-10114, BDU:2025-10116);
▪️ получение доступа к удаленному выполнению команд на сервере TrueConf, первичная разведка инфраструктуры;
▪️ создание учетной записи локального пользователя с привилегированными правами;
▪️подключение к командному серверу, загрузка вредоносного ПО;
▪️внедрение вредоносного ПО в процесс TrueConf, закрепление в инфраструктуре.

После этого злоумышленники могут провести полноценную разведку и определить для себя дальнейший вектор и цель атаки, будь то длительный шпионаж или быстрое шифрование данных с последующим требованием выкупа.

📌 Аналитики RED Security рекомендуют:
▪️ Убедитесь, что в инфраструктуре используется последняя версия TrueConf;
▪️ Используйте индикаторы, опубликованные на сайте RED Security, для поиска следов активности киберпреступников в вашей инфраструктуре и для выявления попыток ее компрометации.

✏️ Чуть позже опубликуем статью с детальным разбором TTP злоумышленников.