기업이 내부에서 신뢰하던 화상회의 서버가 악성코드 유통 통로로 바뀐 정황이 확인됐다. 공격자는 업데이트가 안 된 트루컨프(TrueConf) 서버를 장악한 뒤 정상 클라이언트 설치파일을 백도어가 든 파일로 교체했다.
보안업체 카스퍼스키가 2026년 7월 포착한 이번 공격은 해킹 그룹 헤드메어(Head Mare)의 소행으로 분석됐다. 러시아의 계측기기·전자·운송·에너지·IT·소프트웨어 개발 기업들이 공격 대상에 포함됐다.
두 취약점이 한 번에 뚫린 경로
공격의 출발점은 기본적으로 열려 있는 TCP 4307 포트였다. 헤드메어는 인증 절차 없이 서버에 접근한 뒤 KLCERT-26-057 취약점으로 악성 스크립트를 실행하고 KLCERT-26-058 취약점으로 격리 환경을 벗어났다.
두 단계가 이어지자 공격자는 윈도우 최고 권한인 NT AUTHORITY\SYSTEM 권한을 확보했다. 이어 public/js/locale.php 파일을 웹셸로 바꿔 지속적인 원격 접근 통로를 만들었다.
영향을 받는 범위는 트루컨프 서버 5.3.9 미만·5.4.9 미만·5.5.5 미만 버전과 그 이전 구버전이다. 공격자는 확보한 권한으로 서버 정보와 데이터베이스를 살핀 뒤 정상 설치파일에 팬텀코어(PhantomCore) 백도어를 심었다.
악성 설치파일이 공급망을 타고 번진다
문제는 감염 파일이 조직 내부의 정상 서버에서 배포된다는 점이다. 직원이 평소처럼 사내 서버에서 트루컨프 클라이언트를 내려받아도 디지털 서명이 없는 악성 설치파일을 받을 수 있다.
자체 트루컨프 서버를 운영하지 않는 회사도 안전하다고 단정할 수 없다. 임직원이 침해된 협력사의 서버에 접속해 온라인 회의에 참여하거나 설치 패키지를 받는 과정에서 감염될 가능성이 있기 때문이다.
카스퍼스키는 웹셸을 통해 팬텀코어뿐 아니라 팬텀그래프(PhantomGraph)도 설치된 사실을 확인했다. 팬텀그래프는 두 개의 DLL 모듈로 명령을 처리하며 마이크로소프트 원드라이브 계정을 명령제어 통로로 활용한다.
업데이트와 디지털 서명 검증이 우선
트루컨프는 관련 취약점을 보완한 5.3.9·5.4.9·5.5.5 버전을 6월 18일 배포했다. 그러나 카스퍼스키가 공격을 확인한 7월에도 업데이트가 적용되지 않은 서버가 표적이 됐다.
관리자는 서버를 최신 버전으로 올리고 4307 포트의 외부 노출 여부와 locale.php 파일의 비정상 변경을 점검해야 한다. 클라이언트 설치파일에는 유효한 트루컨프 디지털 서명이 있는지도 확인할 필요가 있다.
이미 침해가 의심된다면 서버를 네트워크에서 격리하고 계정 자격 증명을 교체한 뒤 연결된 단말까지 조사해야 한다. 정상 업데이트 경로가 공격에 이용된 만큼 서버 한 대의 점검만으로 끝낼 수 없는 사안이다.