Les pirates russes Turla utilisent un nouveau malware Cereal pour voler des courriels sur les serveurs Exchange gouvernementaux

Computer screen displaying lines of code — Harshit Katiyar / Unsplash

L'acteur de menace parrainé par l'État et aligné sur la Russie connu sous le nom de Turla, également appelé Snake, utilise une suite d'outils de cyberespionnage précédemment non documentée appelée Cereal pour s'introduire dans les serveurs Microsoft Exchange des victimes afin de collecter secrètement des courriels.

Selon un rapport d'ESET partagé avant sa publication, l'outil sophistiqué et modulaire a été observé contre deux entités gouvernementales au Kazakhstan et en Roumanie à la fin de 2025. La suite Cereal est un instrument soigneusement construit pour l'espionnage cybernetique à long terme et discret, laissant peu de traces sur le disque, évitant les infrastructures externes qui pourraient être découvertes et bloquées, et se dissimulant dans les processus Exchange légitimes.

La suite est une collection de composants interconnectés capables de s'exécuter sur les serveurs Microsoft Exchange, de recevoir des commandes, de les exécuter en mémoire, de cartographier le réseau infecté et de collecter les courriels d'intérêt. Le vecteur d'accès initial utilisé pour livrer le malware est inconnu, bien que le groupe soit connu pour mener des attaques par hameçonnage ciblé, des attaques par empoisonnement de sources et des attaques d'interception au niveau du fournisseur d'accès Internet.

Cereal tire son nom du fait que les outils font un usage extensif de la sérialisation, qui est le processus de conversion d'une structure de données ou de l'état d'un objet en un format qui peut être facilement stocké, transmis et reconstruit. La suite Cereal se compose de huit composants qui travaillent ensemble pour fournir aux attaquants l'accès aux données de courrier électronique sensibles.

Après avoir obtenu une visibilité sur le flux de courrier électronique, le malware recherche les messages contenant des pièces jointes DOC, DOCX ou PDF et les compare à au moins une des nombreuses listes codées en dur contenant des adresses d'expéditeurs, des adresses de destinataires, des lignes d'objet ou des noms de pièces jointes. Les courriels répondant aux critères de filtrage sont compressés, chiffrés et stockés dans des fichiers sur le disque, puis exfiltrés et supprimés via des commandes CerealNeuron.

Dans l'attaque visant l'organisation gouvernementale roumaine, CerealBox aurait été configuré pour collecter les courriels impliquant les adresses institutionnelles de l'OTAN et de l'Union européenne, un modèle qui s'aligne avec les priorités stratégiques de la Russie. Les commandes livrées sous forme de programmes compilés en .NET sont traitées par CerealRunner, qui déplie et exécute les charges utiles en mémoire, puis renvoie les résultats à CerealNeuron pour une exfiltration ultérieure vers l'acteur de menace dans un format chiffré.