La cadena de suministro del software carga con un dilema viejo: confiamos en el producto final, pero casi nunca pensamos en todo lo que atraviesa antes de llegar a nuestras máquinas. La campaña que Kaspersky reveló en agosto de 2026 convierte esa confianza en un arma. El grupo hacktivista Head Mare comprometió servidores con TrueConf, una plataforma de videoconferencia muy utilizada por organismos públicos y empresas en Rusia como alternativa local a Zoom y Teams, y sustituyó el instalador legítimo del cliente por una versión envenenada que instala el backdoor PhantomCore. Quien descargaba lo que parecía una actualización rutinaria recibía, sin saberlo, un caballo de Troya en plena jornada laboral.
El ataque comienza con un paso casi aterradoramente simple. Un servidor TrueConf expone el puerto TCP 4307 por defecto, sin exigir autenticación. A través de ese puerto, el intruso encadenó dos vulnerabilidades registradas internamente como KLCERT-26-057 y KLCERT-26-058: la primera permitía ejecutar un script malicioso dentro del entorno aislado de la plataforma, y la segunda posibilitaba escapar de esa sandbox y ejecutar comandos en el sistema operativo subyacente. A partir de ahí, el grupo elevó sus privilegios hasta NT AUTHORITY\SYSTEM, el nivel máximo en Windows, y sustituyó el archivo \public\js\locale.php por un web shell. El servidor se convirtió en un puesto de mando: acceso a la base de datos de TrueConf, recopilación de información sensible del entorno y reemplazo del instalador alojado por una copia maliciosa sin firma digital.
Una segunda pieza, PhantomGraph, está formada por dos DLL (SysExcSvc.dll y SysReadSvc.dll) que reciben órdenes mediante una cuenta de Microsoft OneDrive. Entre las actividades observadas figuran el volcado de la memoria del LSASS para robar credenciales, comandos de reconocimiento como hostname y whoami, y la creación de un túnel inverso de SSH. Pero el detalle más perturbador es el radio del impacto. Una organización no necesita operar su propio servidor para verse afectada: basta con que un empleado se conecte al servidor de un socio comprometido para asistir a una reunión y descargue el instalador contaminado.
La historia tiene raíces profundas. Los ataques a la cadena de suministro son uno de los capítulos más dolorosos de la seguridad moderna, desde la infame intrusión de SolarWinds hasta el caso de XZ Utils, pasando por los instaladores trojanizados de DAEMON Tools y QuickFox. El patrón es siempre el mismo: en lugar de forzar mil puertas, el atacante envenena una única fuente de agua. Si el software se actualiza solo y confía a ciegas en el servidor que le ofrece la nueva versión, comprometer ese servidor equivale a comprometer a todos los clientes de una sola vez.
Hay aquí un movimiento curioso, casi contraintuitivo. Durante años, las empresas migraron a la nube buscando más seguridad y menos mantenimiento. El caso de TrueConf demuestra que el modelo on-premises —un servidor instalado dentro de la propia organización— no elimina el riesgo de la cadena de suministro; solo lo traslada. La confianza pasa del proveedor de nube al equipo local que mantiene el equipo, y cualquier descuido en los parches convierte la infraestructura de la propia empresa en un vector de ataque contra sus clientes.
Las versiones afectadas son TrueConf Server 5.3.x anteriores a la 5.3.9, 5.4.x anteriores a la 5.4.9, 5.5.x anteriores a la 5.5.5 y todas las más antiguas; los parches (5.3.9, 5.4.9 y 5.5.5) se publicaron el 18 de junio de 2026, y la actividad se detectó en julio. La recomendación es directa: actualizar, auditar los registros y desconfiar de cualquier instalador sin firma. Pero la pregunta que queda en el aire resulta incómoda: si un grupo hacktivista convirtió la puerta principal de una herramienta de reuniones en una puerta trasera, ¿cuántas otras actualizaciones "confiables" circulan ahí fuera sin que nadie mire bajo el capó?
Fuentes: TMCnet, Protect Computer, News4Hackers, Hendry Adrian
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
