Un nuovo caso mostra quanto possa essere pericoloso fidarsi automaticamente degli aggiornamenti distribuiti da un server interno o da una piattaforma di videoconferenza. A luglio 2026 Kaspersky ha osservato attacchi contro server TrueConf non aggiornati: gli aggressori hanno compromesso il server e sostituito i pacchetti di installazione del client con versioni infette, trasformando un normale aggiornamento in un vettore di intrusione. Per un’azienda il punto chiave è semplice: non basta proteggere i PC degli utenti, bisogna mettere in sicurezza anche i sistemi che distribuiscono software e aggiornamenti.
Che cosa è successo
Secondo le analisi pubblicate tra l’8 e il 10 agosto 2026, il gruppo noto come Head Mare ha sfruttato due vulnerabilità nei server TrueConf per ottenere esecuzione di codice con privilegi elevati e mantenere accesso persistente ai sistemi compromessi.
Le falle, identificate da Kaspersky come KLCERT-26-057 e KLCERT-26-058, riguardano le versioni di TrueConf Server 5.3.x fino alla 5.3.9, 5.4.x fino alla 5.4.9, 5.5.x fino alla 5.5.5 e versioni precedenti. Il produttore ha corretto i problemi nelle versioni 5.3.9, 5.4.9 e 5.5.5 rilasciate il 18 giugno 2026.
L’attacco, in sintesi, segue questo schema:
- gli aggressori si collegano al server TrueConf tramite la porta TCP 4307, aperta di default;
- sfruttano una prima vulnerabilità per eseguire uno script maligno nell’ambiente isolato dell’applicazione;
- usano una seconda vulnerabilità per uscire da questo isolamento e lanciare comandi sul sistema operativo sottostante;
- ottengono privilegi NT AUTHORITY\SYSTEM, quindi il massimo livello sul server Windows;
- installano una web shell per conservare accesso remoto persistente;
- sostituiscono l’installer legittimo del client TrueConf con una versione trojanizzata.
Questo passaggio finale è il più insidioso: chi si collega al server compromesso per scaricare o aggiornare il client può ricevere un pacchetto alterato e installare inconsapevolmente una backdoor.
Perché questo attacco è diverso dal solito malware
Molti incidenti partono da un allegato email, da una password rubata o da un ransomware. Qui invece il punto di forza dell’attacco è la fiducia. Se il server aziendale o il server di un partner distribuisce il software, l’utente tende a considerarlo affidabile per definizione.
È proprio questa fiducia a essere stata sfruttata. Invece di colpire direttamente ogni singolo computer, gli attaccanti hanno preso il controllo della sorgente da cui il software viene scaricato. È una logica molto simile agli attacchi alla supply chain: si compromette il punto centrale e si attende che siano gli utenti a “portare dentro” l’infezione.
BleepingComputer evidenzia inoltre un dettaglio importante: il rischio non riguarda soltanto le aziende che gestiscono un proprio server TrueConf. Anche dipendenti o collaboratori che si collegano a un server TrueConf di una controparte per partecipare a una riunione possono essere esposti al download di pacchetti infetti.
In altre parole, il perimetro del rischio non coincide più con la sola infrastruttura interna: comprende anche i sistemi con cui l’azienda interagisce.
I malware usati: PhantomCore e PhantomGraph
Gli attacchi osservati hanno portato all’installazione di due famiglie di backdoor.
La prima è PhantomCore, distribuita attraverso l’installer del client alterato. La seconda è PhantomGraph, composta da due DLL chiamate SysExcSvc.dll e SysReadSvc.dll.
Secondo Kaspersky, PhantomGraph usa un account Microsoft OneDrive come canale di comando e controllo: un approccio che può rendere più difficile distinguere il traffico malevolo da normali connessioni cloud. I due moduli si dividono i compiti: uno riceve i comandi e ne invia i risultati, l’altro li interpreta ed esegue.
Gli aggressori hanno anche:
- creato persistenza installando componenti come servizi Windows;
- avviato un tunnel SSH inverso;
- raccolto informazioni di ricognizione con comandi come
hostnameewhoami; - effettuato un dump della memoria del processo
lsass.exe, attività tipicamente finalizzata al furto di credenziali.
Il dato che conta per un’azienda è questo: non si tratta di un semplice malware “fastidioso”, ma di un’intrusione progettata per espandersi, rubare credenziali e mantenere accesso nel tempo.
Chi è stato colpito e cosa ci dice questo scenario
Kaspersky afferma di aver rilevato gli attacchi a luglio 2026 contro organizzazioni russe dei settori strumentazione, elettronica, trasporti, energia, IT e sviluppo software. TrueConf è molto usato in Russia, specialmente come alternativa on-premise a piattaforme occidentali di videoconferenza.
Anche se il contesto geografico indicato dalle fonti è specifico, il modello di attacco è universale. Ogni azienda che usa piattaforme di collaborazione installate in locale, portali interni di distribuzione software, sistemi di aggiornamento centralizzati o repository accessibili ai dipendenti dovrebbe leggere questa vicenda come un campanello d’allarme.
Non è inoltre un episodio isolato. Le fonti ricordano che:
- in aprile 2026 era già stata segnalata l’attività di sfruttamento di altre vulnerabilità di TrueConf;
- Check Point aveva riferito di una diversa falla ad alta gravità nel client TrueConf, tracciata come CVE-2026-3502, sfruttata in campagne rivolte ad enti governativi nel Sud-Est asiatico.
Il messaggio è chiaro: quando una piattaforma diventa strategica per comunicazioni aziendali o istituzionali, diventa automaticamente più interessante anche per gli attaccanti.
Perché interessa anche le PMI italiane
Una PMI italiana potrebbe pensare che il problema sia lontano perché le campagne osservate hanno colpito soprattutto organizzazioni russe e riguardano un prodotto non diffusissimo nel nostro mercato. Sarebbe una conclusione pericolosa.
Il vero insegnamento non è “TrueConf è vulnerabile”, ma “qualunque piattaforma che distribuisce software o aggiornamenti ai client può diventare un moltiplicatore di infezione se non viene gestita correttamente”. Questo vale per:
- sistemi di videoconferenza on-premise;
- file server da cui si scaricano applicazioni;
- strumenti di gestione centralizzata dei desktop;
- VPN e portali web esposti su Internet;
- software di assistenza remota e teleassistenza.
In una PMI, dove spesso le risorse IT sono limitate, un solo server trascurato può diventare il punto d’ingresso per compromettere molti PC in poche ore.
Cosa significa per la tua azienda
Se nella tua organizzazione esistono server che pubblicano applicazioni, aggiornamenti o installer per gli utenti, questa notizia richiede alcune verifiche immediate.
Primo: controlla se il software esposto verso l’esterno è aggiornato. In questo caso specifico, le versioni corrette di TrueConf Server sono state rilasciate il 18 giugno 2026. Più in generale, ogni piattaforma accessibile da Internet o dai partner deve avere un processo di patching regolare e verificabile. Se questo oggi manca, è il momento di formalizzarlo con strumenti di gestione centralizzata dei sistemi.
Secondo: non dare per scontato che un installer proveniente da un server “interno” sia sicuro. Verifica la presenza della firma digitale, l’integrità dei file pubblicati e la corrispondenza con i pacchetti ufficiali del fornitore. Dove possibile, limita la distribuzione del software a repository controllati e monitorati.
Terzo: monitora i server che fungono da hub per utenti e collaboratori. Se un sistema può essere usato per consegnare file ai PC aziendali, deve essere trattato come un asset critico, con logging, controllo accessi, segmentazione di rete e verifica delle modifiche ai file pubblicati.
Quarto: preparati all’ipotesi peggiore. Se un attaccante ottiene privilegi elevati e ruba credenziali, la capacità di ripristino diventa decisiva. Backup separati, testati e non modificabili dall’attaccante riducono il danno operativo e i tempi di fermo. In questo senso, una strategia di backup remoto ben progettata è una misura concreta, non un adempimento formale.
Quinto: rivedi la fiducia concessa ai sistemi di terze parti. Se i dipendenti si collegano a piattaforme di clienti, fornitori o partner, definisci regole precise: cosa possono scaricare, su quali macchine, con quali controlli e con quale protezione endpoint.
Sesto: fai un controllo mirato sugli indicatori di compromissione più tipici di questo tipo di attacco, ad esempio modifiche anomale ai file pubblicati dal server, creazione inattesa di servizi Windows, connessioni inconsuete verso servizi cloud usati come canale di comando, dump di credenziali o tunnel reverse. Se non disponi di un presidio strutturato, un servizio di sicurezza informatica può aiutare a impostare verifiche tecniche e procedure di risposta.
Le lezioni operative da portare a casa
Questa vicenda conferma tre principi pratici.
Il primo: aggiornare tardi non è più un rischio teorico. Le vulnerabilità corrette il 18 giugno sono state poi osservate in uso attivo a luglio 2026. Quando una patch esiste già, il tempo diventa un fattore decisivo.
Il secondo: i server che distribuiscono software meritano protezioni aggiuntive. Non sono semplici sistemi applicativi, ma punti di fiducia dell’intera organizzazione.
Il terzo: la sicurezza non coincide con l’antivirus sul PC. Se l’attaccante controlla il server che fornisce il client, può aggirare molte difese facendo apparire il malware come un aggiornamento legittimo.
Per le imprese questo si traduce in una priorità gestionale molto concreta: sapere quali sistemi pubblicano software, chi li amministra, come vengono aggiornati e come si verifica che i contenuti distribuiti non siano stati alterati.
Domande frequenti
Se non uso TrueConf, posso ignorare la notizia?
No. Il caso riguarda TrueConf, ma il problema reale è più ampio: qualsiasi server che distribuisce installer o aggiornamenti può diventare un vettore di attacco se non è aggiornato e monitorato.
Il rischio riguarda solo chi gestisce un proprio server?
No. Secondo le fonti, anche utenti che si collegano a server TrueConf compromessi di terze parti possono scaricare pacchetti infetti durante l’uso della piattaforma.
Qual è la priorità più urgente per una PMI?
Verificare subito patching, controllo degli accessi e integrità dei file sui server esposti o usati per distribuire software agli utenti. Subito dopo, conviene rivedere backup e capacità di risposta agli incidenti.