--- title: El grupo Turla despliega el malware Cereal para espiar servidores de correo gubernamentales url: https://www.dataloco.com/es/el-grupo-turla-despliega-el-malware-cereal-para-espiar-servidores-de-correo-gubernamentales published: 2026-11-13T09:21:41+00:00 language: es section: Seguridad source: https://thehackernews.com/2026/11/russian-turla-hackers-use-new-cereal.html organizations: Turla, Snake, ESET, Microsoft, The Hacker News publisher: Dataloco --- # El grupo Turla despliega el malware Cereal para espiar servidores de correo gubernamentales El grupo de amenazas patrocinado por el estado ruso conocido como Turla, también llamado Snake, ha comenzado a utilizar un conjunto de herramientas de ciberespionaje previamente no documentado denominado Cereal. Este instrumento malicioso está diseñado específicamente para infiltrarse en los servidores Microsoft Exchange de las víctimas con el objetivo de recopilar correos electrónicos de manera encubierta. Según un informe de la empresa de ciberseguridad ESET compartido antes de su publicación, esta herramienta sofisticada y modular ha sido observada operando contra dos entidades gubernamentales en Kazajistán y Rumania a finales de dos mil veinticinco. La compañía eslovaca describió el conjunto de herramientas Cereal como un instrumento cuidadosamente construido para el espionaje cibernético a largo plazo y sigiloso. El malware deja poca evidencia en el disco duro, evita utilizar infraestructura externa que podría ser descubierta y bloqueada, y se oculta dentro de procesos legítimos de Exchange. Los expertos señalan que para Turla, los servidores de correo no son solo buzones, sino puntos de recopilación duraderos, centros de ejecución interna y un entorno adecuado para ocultar técnicas avanzadas basadas en .NET. Esta capacidad demuestra una comprensión profunda del funcionamiento interno de la plataforma de Microsoft por parte de los actores de la amenaza. El conjunto de herramientas consiste en una colección de componentes interconectados que funcionan juntos para proporcionar a los atacantes acceso a datos sensibles de correo electrónico. El marco de trabajo de Cereal consta de ocho partes móviles que permiten recibir comandos, ejecutarlos en la memoria, mapear la red infectada y cosechar correos de interés. Aunque el vector de acceso inicial utilizado para entregar el malware permanece desconocido, se sabe que el grupo realiza previamente ataques de pesca dirigida, ataques de tipo watering hole y ataques de adversario en el medio a nivel de proveedor de servicios de internet. El nombre Cereal deriva del uso extensivo que hacen estas herramientas de la serialización, que es el proceso de convertir la estructura de datos o el estado de un objeto en un formato que puede ser almacenado, transmitido y reconstruido fácilmente. Una vez que el malware obtiene visibilidad sobre el flujo de correos, busca mensajes que contengan archivos adjuntos con extensiones DOC, DOCX o PDF. El sistema compara estos mensajes con varias listas codificadas que incluyen direcciones de remitentes, direcciones de destinatarios, líneas de asunto o nombres de archivos adjuntos. Los correos electrónicos que cumplen con los criterios de filtrado se comprimen, cifran y se preparan en archivos en el disco. Posteriormente, estos datos son exfiltrados y eliminados mediante comandos gestionados por un componente llamado CerealNeuron. En el ataque dirigido a la organización gubernamental rumana, se configuró un módulo llamado CerealBox para reunir correos que involucraran direcciones institucionales de la Organización del Tratado del Atlántico Norte y de la Unión Europea, un patrón que se alinea con las prioridades estratégicas de Rusia. Los comandos se entregan como programas .NET compilados y son manejados por un componente denominado CerealRunner, que descomprime y ejecuta las cargas útiles en la memoria antes de enviar los resultados de vuelta a CerealNeuron para su posterior exfiltración al actor de la amenaza en formato cifrado. Estas órdenes permiten recuperar buzones o mensajes específicos, poner en cola información de Active Directory sobre computadoras, usuarios, grupos y registros del sistema de nombres de dominio, ejecutar consultas de instrumentación de gestión de Windows, extraer secretos del subsistema de autenticación local, listar instantáneas de volumen y realizar operaciones con archivos. La gran cantidad de binarios casi idénticos, cada uno compilado para una tarea específica, sugiere fuertemente que los operadores poseen un marco interno que automatiza la compilación y el empaquetado de comandos. Esta combinación de una base de código construida alrededor de componentes modulares e intercambiables crea la impresión de una plataforma madura y bien diseñada, en lugar de una colección dispersa de scripts. ## This story in other languages - [日本語](https://www.dataloco.com/ja/story-90) - [한국어](https://www.dataloco.com/ko/story-123) - [Русский](https://www.dataloco.com/ru/rossiiskie-xakery-turla-ispolzuiut-novyi-vredonos-cereal-dlia-krazi-pisem-s-serverov-exchange-pravitelstv) - [עברית](https://www.dataloco.com/he/story-137) - [Deutsch](https://www.dataloco.com/de/russische-spionagegruppe-turla-nutzt-neues-cereal-werkzeug-fur-e-mail-diebstahl) - [Français](https://www.dataloco.com/fr/les-pirates-russes-turla-utilisent-un-nouveau-malware-cereal-pour-voler-des-courriels-sur-les-serveurs-exchange-gouvernementaux) - [Italiano](https://www.dataloco.com/it/turla-impiega-il-nuovo-malware-cereal-per-rubare-email-dai-server-governativi) - [Svenska](https://www.dataloco.com/sv/rysk-hotaktor-turla-anvander-ny-cereal-skadkod-for-att-stjala-e-post-fran-regeringsservrar) - [Norsk](https://www.dataloco.com/no/russisk-turla-hackergruppe-bruker-ny-cereal-skadelig-programvare-til-a-stjele-e-poster-fra-regjeringsservere) - [Polski](https://www.dataloco.com/pl/rosyjscy-hakerzy-turla-uzywaja-nowego-zlosliwego-oprogramowania-cereal-do-kradziezy-wiadomosci-e-mail-z-serwerow-rzadowych) - [Nederlands](https://www.dataloco.com/nl/russische-turla-hackers-gebruiken-nieuwe-cereal-malware-voor-eavesdropping-op-overheidsnetwerken)