A cadeia de suprimentos de software vive um dilema antigo: confiamos no produto final, mas quase nunca olhamos por onde ele passa antes de chegar até nós. O caso que a Kaspersky revelou em agosto de 2026 transforma essa confiança em arma. O grupo hacktivista Head Mare comprometeu servidores do TrueConf, uma plataforma de videoconferência muito usada por órgãos públicos e empresas na Rússia como alternativa local a Zoom e Teams, e trocou o instalador legítimo do cliente por uma versão envenenada que entrega o backdoor PhantomCore. Quem baixava aquilo que parecia uma atualização de rotina recebia, sem saber, um cavalo de Troia em pleno expediente.
O ataque começa de forma assustadoramente simples. O servidor TrueConf expõe por padrão a porta TCP 4307, sem exigir autenticação. Pela porta, o invasor encadeou duas vulnerabilidades acompanhadas internamente como KLCERT-26-057 e KLCERT-26-058: a primeira permitia executar um script dentro do ambiente isolado da plataforma, e a segunda possibilitava escapar dessa caixa de areia e executar comandos no sistema operacional subjacente. Com isso, o grupo elevou privilégios até o NT AUTHORITY\SYSTEM, o nível máximo no Windows, e substituiu o arquivo \public\js\locale.php por um web shell. Dali em diante, o servidor passou a ser um posto de comando: acesso ao banco de dados, coleta de informações sensíveis e troca do instalador hospedado por uma versão sem assinatura digital.
A segunda peça do arsenal se chama PhantomGraph, formada por duas DLLs (SysExcSvc.dll e SysReadSvc.dll) que recebem ordens por meio de uma conta do Microsoft OneDrive. Entre as atividades observadas estão o despejo da memória do LSASS para roubar credenciais, comandos de reconhecimento como hostname e whoami e a criação de um túnel reverso de SSH. O detalhe mais perturbador, porém, é o alcance. Uma empresa não precisa operar o próprio servidor para ser afetada: basta um funcionário conectar-se ao servidor de um parceiro comprometido para participar de uma reunião e baixar o instalador contaminado.
A história tem raízes antigas. Ataques de supply chain são um dos capítulos mais dolorosos da segurança moderna, da infame invasão da SolarWinds ao caso XZ Utils, passando por ferramentas falsificadas de DAEMON Tools e QuickFox. O padrão é sempre o mesmo: em vez de quebrar mil portas, o atacante envenena uma única fonte de água. Se um programa é atualizado automaticamente e confia no servidor que lhe oferece a nova versão, comprometer esse servidor equivale a comprometer todos os clientes de uma só vez.
Aqui há um movimento curioso e até contra-intuitivo. Durante anos, empresas migraram para a nuvem procurando mais segurança e menos manutenção. O caso do TrueConf mostra que o modelo on-premises, aquele servidor instalado dentro da própria organização, não elimina o risco de supply chain — apenas o desloca. A confiança sai do fornecedor de nuvem e vai para a equipe local que mantém o servidor, e qualquer descuido na atualização transforma a infraestrutura da própria empresa em vetor de ataque para os clientes dela.
As versões afetadas são TrueConf Server 5.3.x anteriores à 5.3.9, 5.4.x anteriores à 5.4.9, 5.5.x anteriores à 5.5.5 e todas as mais antigas; os patches (5.3.9, 5.4.9 e 5.5.5) saíram em 18 de junho de 2026, e a atividade foi detectada em julho. A recomendação é direta: atualizar, auditar os logs e desconfiar de qualquer instalador sem assinatura. Mas a pergunta que fica no ar é incômoda: se um grupo hacktivista conseguiu transformar a porta de entrada de uma ferramenta de reunião em porta dos fundos, quantas outras atualizações "confiáveis" circulam por aí sem que ninguém olhe debaixo do capô?
Fontes: TMCnet, Protect Computer, News4Hackers, Hendry Adrian
✓ Fontes independentes cruzadas e verificadas antes da publicação
