PhantomHeart
Hunt this family in your stack
Mallory pivots from this family to the IOCs, detections, and named campaigns that touch your stack, and pages you when something new lands.
Groups observed using it
1 distinct threat actor attributed by public researchers. Open in Mallory to see the full evidence chain and overlapping campaigns.
Не успели мы рассказать о кампании с использованием PhantomHeart, как обнаружили еще одну масштабную фишинговую рассылку...
Techniques & procedures
8 distinct techniques documented for this family, organized by ATT&CK tactic.
Initial Access
1 techniqueHead Mare продолжает эксплуатировать уязвимость BDU:2025-10114 в программном обеспечении TrueConf Server... В этой кампании вновь используется эксплуатация уязвимости BDU:2025-10114 в TrueConf Server... включая внедрение команд PowerShell через параметры запуска tc_server.exe, что позволяло атакующим выполнять произвольный код в целевых системах.
Execution
2 techniques...бэкдор запускался через планировщик задач под видом легитимного скрипта обновления... Новая версия PhantomProxyLite... закрепление теперь осуществляется через задачу планировщика Windows с тем же именем, SSHService, настроенную на запуск при старте системы от имени учетной записи SYSTEM.
Ключевой находкой стал новый бэкдор PhantomHeart, который изначально распространялся в виде DLL-библиотеки, а позднее был переработан в PowerShell-скрипт... PhantomProxyLite... также получил реализацию на PowerShell... включая внедрение команд PowerShell через параметры запуска tc_server.exe.
Persistence
1 technique...бэкдор запускался через планировщик задач под видом легитимного скрипта обновления... Новая версия PhantomProxyLite... закрепление теперь осуществляется через задачу планировщика Windows с тем же именем, SSHService, настроенную на запуск при старте системы от имени учетной записи SYSTEM.
Privilege Escalation
1 technique...бэкдор запускался через планировщик задач под видом легитимного скрипта обновления... Новая версия PhantomProxyLite... закрепление теперь осуществляется через задачу планировщика Windows с тем же именем, SSHService, настроенную на запуск при старте системы от имени учетной записи SYSTEM.
Stealth
1 technique...бэкдор запускался через планировщик задач под видом легитимного скрипта обновления, размещенного в директории средства удаленного администрирования LiteManager. Использование пути $ProgramFiles\LiteManager Pro - Server\rom\check-update.ps1 указывает на попытку замаскировать вредоносную активность под штатную работу легитимного программного обеспечения.
Lateral Movement
1 techniqueПри получении соответствующих параметров... бэкдор запускает клиент OpenSSH... инициирует сессию с использованием удаленного проброса портов... PhantomProxyLite... запускает ssh.exe для установления обратного туннеля.
Command and Control
3 techniquesПосле расшифровки адресов PhantomHeart переходит в основной цикл взаимодействия с C2. Для обмена данными используются HTTP POST-запросы, содержащие вредоносную нагрузку в формате JSON.
Ключевой функциональной возможностью PhantomHeart является развертывание SSH-туннеля по указанию C2-сервера... Затем PhantomHeart динамически создает временный конфигурационный файл... и инициирует сессию... Это позволяет оператору получить устойчивый удаленный доступ к скомпрометированной системе.
Ключевой функциональной возможностью PhantomHeart является развертывание SSH-туннеля... инициирует сессию с использованием удаленного проброса портов (remote port forwarding)... PhantomProxyLite... запускает ssh.exe для установления обратного туннеля.
IOCs tracked for this family
30 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Full values are available in Mallory.
IPs, domains, and DNS infrastructure linked to this family.
File hashes (MD5, SHA-1, SHA-256) from samples and reports.
Recent activity
4 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.
Backdoor attributed to Head Mare and used to create SSH tunnels.
Referenced as malware used in a prior Head Mare campaign, but no technical details are provided in this content.
PowerShell backdoor that provides remote access via HTTP communication with a C2 server and can deploy an SSH tunnel on operator request. It collects host information, registers and sends heartbeat messages to the C2, launches OpenSSH with remote port forwarding, and supports persistence via Windows Task Scheduler disguised as a legitimate update script.
A backdoor attributed to Head Mare that is used to create an SSH tunnel.
The version that knows your environment.
Match every observed IP, domain, and hash against your live telemetry.
Named campaigns wielding this family, with evidence pinned to each claim.
CVEs this family uses for access and lateral movement.
YARA, Sigma, Snort, and vendor rules, auto-deployed to your SIEM.
Every documented technique, ranked by evidence weight.
Reddit, Mastodon, and CTI community discussion around this family.