Opération TrueChaos : exploitation d'un 0-day TrueConf contre des gouvernements d'Asie du Sud-Est

🔍 Contexte

Publié le 31 mars 2026 par Check Point Research, ce rapport documente l’opération TrueChaos, une campagne d’espionnage ciblée contre des entités gouvernementales en Asie du Sud-Est, exploitant une vulnérabilité zero-day dans le client TrueConf, une plateforme de vidéoconférence on-premises.

🐛 Vulnérabilité : CVE-2026-3502

• CVSS score : 7.8
• La faille réside dans l’absence de vérification d’intégrité et d’authenticité dans le mécanisme de mise à jour du client TrueConf
• Un attaquant contrôlant le serveur TrueConf on-premises peut remplacer le paquet de mise à jour légitime par un exécutable arbitraire
• Le client fait confiance au serveur sans validation, permettant la distribution et l’exécution de fichiers malveillants sur tous les endpoints connectés
• Correctif disponible dans TrueConf Windows client version 8.5.3 (mars 2026)

⚔️ Déroulement de l’attaque

1. L’attaquant compromet le serveur TrueConf on-premises d’un département IT gouvernemental
2. Il remplace le paquet de mise à jour (trueconf_client.exe) par une version weaponisée
3. Un lien est envoyé aux cibles pour déclencher le client TrueConf et afficher une invite de mise à jour
4. Le paquet malveillant (construit avec Inno Setup) installe légitimement la version 8.5.2 tout en déposant :
   • poweriso.exe (binaire bénin)
   • 7z-x64.dll (implant malveillant) dans c:\programdata\poweriso\
5. DLL side-loading via poweriso.exe pour charger 7z-x64.dll

🛠️ Post-exploitation

• Reconnaissance : tasklist, tracert 8.8.8.8
• Téléchargement via FTP depuis 47.237.15[.]197 d’un loader iscsiexe.dll dans update.7z
• Bypass UAC via iscsicpl.exe (SysWOW64) et DLL search-order hijacking
• Modification du PATH utilisateur : HKCU\environment
• Persistance via HKCU\Software\Microsoft\Windows\CurrentVersion\Run\UpdateCheck pointant vers PowerISO.exe
• Déploiement final d’un implant Havoc communiquant avec l’infrastructure C2 de l’acteur

🎯 Attribution

Check Point Research attribue avec confiance modérée cette opération à un acteur à nexus chinois, sur la base de :

• TTPs cohérents avec des opérations chinoises (DLL sideloading)
• Infrastructure C2 hébergée sur Alibaba Cloud et Tencent
• Victimologie alignée avec les intérêts stratégiques chinois
• Chevauchement avec l’acteur Amaranth Dragon (usage de Havoc)
• La même victime a été ciblée simultanément par ShadowPad

📄 Type d’article

Publication de recherche technique à visée CTI, documentant une exploitation in-the-wild d’un zero-day, la chaîne d’infection complète, l’attribution et les indicateurs de compromission associés.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Amaranth Dragon (state-sponsored)

TTP

• T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
• T1574.001 — Hijack Execution Flow: DLL Search Order Hijacking (Persistence)
• T1574.002 — Hijack Execution Flow: DLL Side-Loading (Defense Evasion)
• T1548.002 — Abuse Elevation Control Mechanism: Bypass User Account Control (Privilege Escalation)
• T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
• T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
• T1057 — Process Discovery (Discovery)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1071 — Application Layer Protocol (Command and Control)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1112 — Modify Registry (Defense Evasion)

IOC

• IPv4 : 43.134.90.60
• IPv4 : 43.134.52.221
• IPv4 : 47.237.15.197
• MD5 : 22e32bcf113326e366ac480b077067cf
• MD5 : 9b435ad985b733b64a6d5f39080f4ae0
• MD5 : 248a4d7d4c48478dcbeade8f7dba80b3
• CVEs : CVE-2026-3502
• Fichiers : trueconf_windows_update.exe
• Fichiers : poweriso.exe
• Fichiers : 7z-x64.dll
• Fichiers : iscsiexe.dll
• Fichiers : update.7z
• Fichiers : rom.dat
• Fichiers : winexec.exe
• Chemins : c:\programdata\poweriso\poweriso.exe
• Chemins : c:\programdata\poweriso\7z-x64.dll
• Chemins : %AppData%\Roaming\Adobe\update.7z
• Chemins : HKCU\Software\Microsoft\Windows\CurrentVersion\Run\UpdateCheck

Malware / Outils

• Havoc (framework)
• ShadowPad (backdoor)

---

🔗 Source originale : https://research.checkpoint.com/2026/operation-truechaos-0-day-exploitation-against-southeast-asian-government-targets/