En bref

  • La faille CVE-2026-3502 (CVSS 7.8) dans le client TrueConf permet l'exécution de code via des mises à jour piégées
  • Versions affectées : TrueConf 8.1.0 à 8.5.2 — correctif disponible en 8.5.3
  • Campagne attribuée à un acteur chinois, ciblant des agences gouvernementales en Asie du Sud-Est

Les faits

CheckPoint a publié fin mars 2026 une analyse détaillée d'une campagne d'espionnage baptisée TrueChaos, exploitant une vulnérabilité zero-day dans le client de visioconférence TrueConf. La faille, référencée CVE-2026-3502, réside dans l'absence de vérification d'intégrité lors du téléchargement des mises à jour applicatives. Un attaquant contrôlant le serveur TrueConf on-premise peut distribuer des fichiers malveillants à l'ensemble des endpoints connectés.

L'attaque a été identifiée sur un serveur TrueConf centralisé géré par une administration gouvernementale d'Asie du Sud-Est. Les fausses mises à jour ont permis le déploiement du framework de command-and-control open source Havoc sur l'ensemble des postes connectés, impactant plusieurs agences simultanément. Selon CheckPoint, l'attribution pointe avec un niveau de confiance modéré vers un acteur lié à la Chine, sur la base des TTP observées et de l'infrastructure C2 hébergée sur Alibaba Cloud et Tencent Cloud.

Impact et exposition

Toute organisation utilisant TrueConf en version 8.1.0 à 8.5.2 avec un serveur on-premise est potentiellement exposée. Le vecteur d'attaque est particulièrement redoutable : il suffit de compromettre le serveur central pour propager automatiquement le malware à tous les clients connectés, sans interaction utilisateur. Les environnements gouvernementaux et les grandes entreprises utilisant TrueConf en interne sont les cibles principales. La nature supply chain de l'attaque rend la détection difficile par les outils de sécurité endpoint classiques.

Recommandations

  • Mettre à jour immédiatement vers TrueConf 8.5.3 ou supérieur sur l'ensemble des clients et serveurs
  • Auditer les logs du serveur TrueConf pour identifier d'éventuelles mises à jour suspectes distribuées avant le patch
  • Rechercher des indicateurs de compromission liés au framework Havoc C2 sur les endpoints concernés
  • Isoler le serveur TrueConf et vérifier son intégrité avant remise en production

Comment savoir si mon serveur TrueConf a été compromis ?

Vérifiez les fichiers distribués via le mécanisme de mise à jour en comparant leurs hash avec les versions officielles de TrueConf. Analysez les connexions sortantes du serveur vers des IP hébergées sur Alibaba Cloud ou Tencent Cloud. La présence de processus liés au framework Havoc (DLL injectées, beacons HTTP/S atypiques) sur les postes clients est un indicateur fort de compromission.

Les versions cloud/SaaS de TrueConf sont-elles aussi vulnérables ?

La vulnérabilité CVE-2026-3502 concerne spécifiquement le mécanisme de mise à jour du client Windows connecté à un serveur on-premise. Les déploiements cloud gérés par TrueConf ne sont pas directement affectés, car les mises à jour transitent par l'infrastructure contrôlée par l'éditeur. Néanmoins, la mise à jour du client vers la version 8.5.3 reste recommandée dans tous les cas.

L'essentiel à retenir

TrueChaos illustre une tendance croissante : les attaquants étatiques ciblent les outils de collaboration internes pour transformer un serveur compromis en vecteur de distribution massive. La visioconférence on-premise, souvent perçue comme plus sûre que le cloud, devient une surface d'attaque critique quand le mécanisme de mise à jour n'est pas correctement sécurisé.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit