TrueConfの脆弱性を悪用、PhantomCoreが大規模侵入を実行

ロシアの組織を標的に、ビデオ会議ソフトの脆弱性を悪用した攻撃が確認されています。複数の欠陥を組み合わせることで、外部からシステムに侵入し操作される可能性があると報告されています。すでに修正は提供されていますが、適用の遅れが被害拡大につながったとみられます。本記事では攻撃の仕組みと対策を解説します。
The Hacker News：PhantomCore Exploits TrueConf Vulnerabilities to Breach Russian Networks

この記事のポイント

影響のあるシステム

TrueConf Server（ビデオ会議ソフト）
BDU:2025-10114（CVSS 7.5）影響：認証なしで管理エンドポイントへアクセス可能
BDU:2025-10115（CVSS 7.5）影響：任意ファイル読み取り
BDU:2025-10116（CVSS 9.8）影響：コマンドインジェクションによる任意コマンド実行

推奨される対策

2025年8月27日に公開されたセキュリティパッチを適用する
外部公開されているTrueConfサーバーのアクセス制御を見直す
不審な通信やプロセスの監視を強化する
管理アカウントや認証情報の見直し・変更を行う
不審なユーザー（例：”TrueConf2″）の有無を確認する

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

RCE（Remote Code Execution）：遠隔から任意のコマンドを実行される脆弱性です。
コマンドインジェクション：不正な入力によりOSコマンドを実行させる攻撃手法です。
ラテラルムーブメント：侵入後にネットワーク内で横展開する攻撃行動です。
Webシェル：遠隔からサーバーを操作するための不正スクリプトです。

複数の脆弱性を連鎖させた侵入手法

今回の攻撃では、TrueConf Serverに存在する3つの脆弱性が組み合わせて悪用されたと報告されています。まず認証回避の問題により管理機能へアクセスし、その後にファイル読み取り機能を利用して内部情報を取得、最終的にコマンドインジェクションによってシステム上で任意の操作を実行する流れです。このような「エクスプロイトチェーン」は単一の脆弱性よりも影響が大きく、完全な侵害につながる可能性があります。

これらの脆弱性に対する修正は2025年8月に提供されていましたが、その後も攻撃が確認されていることから、パッチ未適用のシステムが狙われた可能性があります。特にインターネットに公開されたサーバーは攻撃対象になりやすく、迅速な更新対応の重要性が改めて示されています。

侵入後の活動とツールの多様性

侵入に成功した後、攻撃者はサーバーを足がかりとしてネットワーク内部へ展開する活動を行っていたとされています。具体的には、Webシェルの設置やプロキシ機能の導入により、外部からの操作を隠蔽しながら通信を継続する手法が確認されています。また、認証情報の窃取やシステム情報の収集など、さらなる攻撃に向けた準備も行われていたと報告されています。

使用されたツールには、独自開発のマルウェアに加え、公開されている解析・侵入ツールも含まれており、攻撃の柔軟性が高い点が特徴です。さらに、リモートデスクトップやWinRMを用いた横展開など、標準機能を悪用するケースも確認されており、検知が難しい状況が生まれている可能性があります。

国内組織が直ちに確認すべきポイント

日本国内の組織においても、同様のソフトウェアや構成を利用している場合は注意が必要です。まずはTrueConf Serverの利用有無を確認し、該当する場合はパッチ適用状況を点検することが重要です。特に長期間更新されていないサーバーは優先的に確認すべき対象となります。

また、侵入の痕跡として不審なユーザーアカウントの作成や未知のスクリプトの存在をチェックすることが推奨されます。ログの分析や通信の監視を強化することで、異常な挙動を早期に検知できる可能性があります。加えて、フィッシング攻撃による初期侵入も報告されているため、従業員への注意喚起やメール対策の強化も重要です。複合的な対策を講じることで、同様の攻撃リスクを低減できると考えられます。

参考文献・記事一覧

The Hacker News

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
Hack The Box Business CTF 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）