Sicherheit · 13. November 2026
Auch veröffentlicht auf 日本語, 한국어, Русский, עברית, Español, Français, Italiano, Svenska, Norsk, Polski, Nederlands
Russische Spionagegruppe Turla nutzt neues Cereal-Werkzeug für E-Mail-Diebstahl
Die russlandfreundliche, staatlich geförderte Bedrohungsakteur Turla, auch als Snake bekannt, setzt ein zuvor nicht dokumentiertes Cyber-Spionage-Werkzeug namens Cereal ein, um in Microsoft Exchange-Server von Opfern einzudringen und E-Mails heimlich zu sammeln.
Laut einem Bericht des slowakischen Sicherheitsunternehmens ESET, der vor der Veröffentlichung geteilt wurde, ist das modulare Werkzeug für die langfristige Sammlung von Informationen konzipiert. Es wurde Ende 2025 gegen zwei staatliche Einrichtungen in Kasachstan und Rumänien beobachtet.
Das Cereal-Werkzeug besteht aus acht miteinander verbundenen Komponenten, die auf Exchange-Servern laufen, Befehle empfangen, diese im Arbeitsspeicher ausführen, das infizierte Netzwerk kartieren und E-Mails von Interesse ernten. Der genaue Zugangsweg zur Auslieferung der Schadsoftware ist unbekannt, wobei die Gruppe für gezielte Phishing-Angriffe, Watering-Hole-Angriffe und Adversary-in-the-Middle-Angriffe auf ISP-Ebene bekannt ist.
Der Name Cereal leitet sich von der intensiven Nutzung der Serialisierung ab, einem Prozess zur Umwandlung von Datenstrukturen in ein speicher- und übertragungsfähiges Format. Die Befehle werden als kompilierte .NET-Programme geliefert und von der Komponente CerealRunner verarbeitet, die die Nutzlasten im Speicher ausführt und die Ergebnisse an CerealNeuron zur verschlüsselten Exfiltration zurücksendet.
Die Befehle unterstützen das Abrufen von Postfächern oder spezifischen Nachrichten, das Einreihen von Active-Directory-Einträgen für Computer, Benutzer, Gruppen und DNS-Einträge, das Ausführen von Windows-Management-Instrumentation-Abfragen, das Extrahieren von LSA-Geheimnissen, das Auflisten von Volumenschnappschüssen und das Durchführen von Dateioperationen.
Nachdem das Werkzeug Sichtbarkeit in den E-Mail-Verkehr erlangt hat, sucht es nach Nachrichten mit DOC-, DOCX- oder PDF-Anhängen und gleicht diese mit hartkodierten Listen von Absenderadressen, Empfängeradressen, Betreffzeilen oder Dateinamen ab. E-Mails, die die Filterkriterien erfüllen, werden komprimiert, verschlüsselt und auf der Festplatte zwischengespeichert, bevor sie exfiltriert und gelöscht werden.
Im Angriff auf die rumänische Regierungsorganisation wurde CerealBox konfiguriert, um E-Mails mit Adressen von NATO- und EU-Institutionen zu sammeln, ein Muster, das den strategischen Prioritäten Russlands entspricht. ESET-Forscher Matías Porolli erklärte, dass die große Menge nahezu identischer Binärdateien, die jeweils für eine spezifische Aufgabe kompiliert wurden, auf ein internes Framework zur Automatisierung der Kompilierung und Verpackung hindeutet. Zusammen mit einer Codebasis aus modularen, austauschbaren Komponenten ergibt sich der Eindruck einer ausgereiften, gut konstruierten Plattform.