Исследователи Лаборатории Касперского предупредили о новой вредоносной кампании группировки Head Mare, нацеленной на образовательные и научные учреждения, а также организации в энергетическом секторе в России. Зедетектить активность удалось в феврале 2026 года, сама же кампания была активна как минимум с декабря 2025 года. Жертвы получали ссылку - приглашение на видеоконференцию, после перехода по которой пользователю предлагалось установить сервис для подключения к видеозвонку. В процессе установки происходило заражение системы - на устройство устанавливался ранее неизвестный бэкдор, который в ЛК назвали PhantomPxPigeon. В настоящее время, как отмечают исследователи, наблюдается новая волна схожей активности, в частности в поле зрения попал целый ряд скомпрометированных серверов TrueConf у различных организаций из области транспорта, а также у научных и образовательных учреждений. Дистрибутивы клиентского приложения TrueConf, которое скачивается с этих серверов, были подменены на вредоносные. Таким образом, потенциально могли быть скомпрометированы и другие организации, сотрудники которых могли установить вредоносные версии клиентского приложения. Вектор атаки, приводящий к подмене клиентского приложения на текущий момент непонятен, но злоумышленники предположительно могли использовать уже известную уязвимость BDU:2025-10116, которая была выявлена исследователями и исправлена вендором в августе 2025 года. В связи с этим в Лаборатории Касперского рекомендуют всем использующим ПО TrueConf установить актуальную версию сервера в соответствии с рекомендациями вендора. Кроме того, следует убедиться, что клиентские дистрибутивы, загружающиеся с сервера TrueConf, используемого в организации, имеют действительную цифровую подпись TrueConf и не подменены. Обнаруженные ЛК вредоносные дистрибутивы не имеют действительной цифровой подписи. Проверить подлинность можно также на сайте производителя. Решения Лаборатории Касперского эффективно детектируют и блокируют вредоносные инсталляторы. В рамках сервиса Kaspersky Managed Detection and Response вредоносная активность также обнаруживается. Актуальные IOCs - на сайте Лаборатории Касперского.