Cercetătorii de la ESET au identificat un nou toolset de malware, denumit Cereal, utilizat de grupul Turla pentru operațiuni de spionaj cibernetic pe termen lung. Acest set de instrumente a fost folosit pentru a compromite servere Microsoft Exchange ale unor organizații guvernamentale din Kazahstan, la data de 28 noiembrie 2025, și din România, pe 23 decembrie 2025. Atacul din România a vizat în mod specific comunicarea instituțională, utilizând un modul specializat pentru colectarea de e-mailuri.
În cazul atacului asupra României, modulul de colectare a e-mailurilor, numit CerealBox, a fost configurat pentru a identifica mesaje trimise către sau primite de la adrese instituționale ale NATO și ale Uniunii Europene. ESET atribuie utilizarea acestui toolset grupului Turla, cunoscut și sub numele de Snake, cu un grad ridicat de încredere. Grupul este evaluat ca fiind legat de Serviciul Federal de Securitate al Rusiei, având ca ținte guverne, misiuni diplomatice și organizații de apărare din Europa și Asia Centrală.
O caracteristică tehnică majoră a campaniei este absența unei infrastructuri externe de comandă și control (C&C). Backdoor-ul principal, CerealNeuron, rulează direct pe serverul Exchange compromis și așteaptă pasiv cereri web care imită traficul obișnuit, precum Outlook Web Access sau ActiveSync. Prin această metodă, serverul victimei devine propriul centru de comandă, ceea ce elimină necesitatea unei infrastructuri dedicate care ar putea fi detectată și blocată de către echipele de securitate.
Toolset-ul Cereal este extrem de modular și include componente precum CerealLoader, CerealRunner, CerealSprinter și CerealHermit. Un alt element critic este CerealBox, care folosește o tehnică de injectare directă în procesul EdgeTransport.exe pentru a deturna handler-ele agenților deja încărcate în memorie, evitând astfel lăsarea de urme în configurația Exchange. Acest modul selectează mesaje cu anumite extensii, precum .doc sau .pdf, care corespund unor criterii specifice de expeditor sau subiect.
Atacatorii utilizează tehnici sofisticate .NET pentru a evita analiza, inclusiv abuzul de o caracteristică rară numită Vtable Fixups. De asemenea, malware-ul poate imita fișiere DLL legitime ale Windows-ului sau poate abuza de cache-ul de imagini native pentru a încărca versiuni malițioase ale bibliotecilor. Această combinație de tehnici, care necesită o înțelegere profundă a structurii interne a pipeline-ului de poștă Microsoft Exchange, indică un nivel de investiție și complexitate neobișnuit chiar și pentru actorii de tip APT.
Activitatea grupului Turla reflectă prioritățile de intelligence rusești, concentrându-se pe ținte strategice precum NATO și UE. În contextul regional, aceste acțiuni de spionaj pot fi corelate cu tensiunile geopolitice și incidentele de securitate din zona de est. Monitorizarea constantă a traficului de date și a integrității serverelor de poștă rămâne esențială pentru protejarea infrastructurii critice de stat în fața unor astfel de campanii de spionaj coordonate și extrem de discrete.