ESET: Turla a folosit un nou toolset numit Cereal pentru spionaj cibernetic pe termen lung, vizând servere Exchange din România şi Kazahstan

Cercetătorii ESET au descoperit un toolset malware nedocumentat anterior, numit Cereal, folosit de grupul Turla, legat de Rusia, pentru spionaj cibernetic pe termen lung. Toolset-ul a compromis servere Microsoft Exchange ale unor organizaţii guvernamentale din Kazahstan (28 noiembrie 2025) şi România (23 decembrie 2025). În cazul României, modulul de colectare a e-mailurilor, CerealBox, a fost configurat să identifice mesajele trimise către sau primite de la adrese instituţionale ale NATO şi ale Uniunii Europene, potrivit unui raport publicat de ESET pe blogul său, WeLiveSecurity.

ESET atribuie Cereal grupului Turla cu un grad ridicat de încredere, pe baza utilizării concomitente a unei alte componente legate public de Turla şi a asemănărilor conceptuale cu malware-ul mai vechi al grupului. Turla, cunoscut şi sub numele de Snake, activează de cel puţin din 2004 şi este evaluat pe scară largă ca făcând parte din Serviciul Federal de Securitate al Rusiei (FSB). Ţintele sale obişnuite sunt guverne, misiuni diplomatice şi organizaţii de apărare, în principal în Europa, Asia Centrală şi Orientul Mijlociu, conform raportului.

Cea mai notabilă caracteristică a campaniei este absenţa infrastructurii externe de comandă şi control (C&C). În loc să contacteze periodic servere controlate de atacatori, backdoor-ul principal, CerealNeuron, rulează pe serverul Exchange compromis şi aşteaptă pasiv cereri web primite pe căi care arată ca traficul obişnuit Exchange, cum ar fi Outlook Web Access, Autodiscover şi ActiveSync. Cererile criptate care trec de verificări sunt tratate ca comenzi şi executate, iar cererile invalide sunt redirecţionate către o pagină de eroare Exchange pentru a ascunde backdoor-ul. Astfel, serverul victimei devine propriul centru de comandă, eliminând necesitatea unei infrastructuri dedicate pe care apărătorii să o poată descoperi şi bloca, potrivit ESET.

Toolset-ul este modular şi include mai multe componente: CerealLoader, care încarcă şi rulează ansambluri .NET dintr-un fişier criptat pe disc; CerealRunner şi CerealSprinter, care transportă alte binare criptate şi comenzi; CerealNeuron, backdoor-ul pasiv; CerealHermit, o variantă fără funcţionalităţi de reţea care citeşte comenzi din fişiere criptate pe disc; CerealIron, un injector care permite rularea ansamblurilor .NET din procese non-.NET; CerealBox, modulul de colectare a e-mailurilor; şi CerealMoth, o componentă simplă care încarcă un ansamblu şi rulează o metodă specificată. Comenzile sunt livrate ca programe .NET mici, compilate separat, ceea ce sugerează existenţa unui framework intern care automatizează compilarea şi livrarea comenzilor, conform raportului.

CerealBox foloseşte o tehnică nouă: în loc să înregistreze un agent de transport Exchange, ceea ce ar lăsa urme în configuraţie, este injectat direct în procesul EdgeTransport.exe şi deturnează handler-ele agenţilor deja încărcaţi în memorie. Wrapper-ele maliţioase rulează logica CerealBox mai întâi, apoi returnează controlul codului original, permiţând fluxului de e-mail să continue normal. Modulul selectează mesajele care au ataşamente .doc, .docx sau .pdf şi care corespund unor criterii hardcodate, inclusiv adrese de expeditor sau destinatar, textul subiectului şi numele ataşamentelor. Mesajele interesante sunt comprimate, criptate şi stocate pe disc, iar operatorii le recuperează şi le şterg ulterior prin comenzile CerealNeuron. ESET descrie această tehnică drept nedocumentată anterior pentru vreo familie de malware şi subliniază că necesită o înţelegere profundă a modului în care este structurat intern pipeline-ul de poştă al Exchange, potrivit raportului.

Toolset-ul foloseşte, de asemenea, tehnici sofisticate .NET pentru a evita analiza. CerealLoader execută cod nativ înainte ca runtime-ul .NET să înceapă instrucţiunile normale, abuzând de o caracteristică rar folosită a specificaţiei .NET, Vtable Fixups, pentru a construi o punte ascunsă către o metodă .NET. De asemenea, poate imita DLL-uri Windows legitime, precum ncobjapi.dll sau wbemcomn.dll, şi poate abuza de cache-ul de imagini native .NET, plasând fişiere maliţioase cu nume precum Microsoft.Exchange.Search.Mdb.ni.dll, astfel încât runtime-ul să încarce versiunea maliţioasă atunci când Exchange solicită biblioteca respectivă. Aceste tehnici sunt documentate în părţi mai puţin cunoscute ale specificaţiei .NET, iar combinaţia lor deliberată într-un singur toolset este neobişnuită, conform ESET.

Contextul geopolitic al celor două compromisuri este relevant. Concentrarea asupra adreselor NATO şi UE în cazul României se potriveşte priorităţilor de intelligence ruseşti de lungă durată şi poate fi legată de tensiunile regionale, inclusiv de incidentele cu drone ruseşti care au căzut în apropierea sau pe teritoriul României începând cu 2025. În cazul Kazahstanului, compromiterea unei organizaţii guvernamentale se potriveşte unui scenariu în care operatorii vor vizibilitate asupra disidenţilor ruşi cunoscuţi de autorităţile kazahe, dar care nu se află încă pe nicio listă de deportare. ESET notează şi o creştere a activităţii în Kazahstan pe 15 ianuarie 2026, ziua de după „Anul Nou Vechi”, o sărbătoare informală încă respectată în Rusia şi în unele ţări vecine, potrivit raportului.

În concluzie, ESET descrie toolset-ul Cereal ca un instrument construit cu atenţie pentru spionaj cibernetic pe termen lung şi stealth. Acesta lasă puţine urme pe disc, evită infrastructura externă care ar putea fi descoperită şi blocată şi se ascunde în procesele legitime Exchange. Utilizarea punctelor de intrare nemijlocite, a Vtable Fixups, a abuzului de cache-ul de imagini native şi a injectării în memorie în pipeline-ul de transport al Exchange reflectă un nivel de investiţie în tehnici .NET care este neobişnuit chiar şi printre actorii APT sofisticaţi. Pentru Turla, serverele Exchange nu sunt doar servere de poştă, ci puncte de colectare durabile, hub-uri interne de execuţie şi un mediu potrivit pentru ascunderea unor tehnici .NET sofisticate, conform raportului ESET.