פעילי סייבר רוסים משתמשים בתוכנה זדונית חדשה לגניבת דוא״ל משרתי חילופי ממשלה

ערכת הכלים היא אוסף של רכיבים קשורים זה לזה המסוגלים לרוץ על שרתי Microsoft Exchange, לקבל פקודות, לבצע אותן בזיכרון, למפות את הרשת הנגועה ולקטוף דוא״ל בעלי עניין. וקטור הגישה הראשוני המשמש להעברת התוכנה הזדונית אינו ידוע, אם כי הקבוצה ידועה בביצוע התקפות דיג מכוונות, בור מימי והתקפות איש-באמצע ברמת ספק שירותים.

Cereal קיבל את שמו מהעובדה שהכלים משתמשים בהרחבה בסדרתיות, המתייחסת לתהליך של המרת מבנה נתונים או מצב של אובייקט לפורמט שניתן לאחסן, להעביר ולשחזר בקלות. ESET הוסיפה כי שילוב הטכניקות הללו מראה שפעיל ההאיום בעל הבנה עמוקה של הפעולה הפנימית של Microsoft Exchange. מסגרת Cereal מורכבת משמונה חלקים נעים העובדים יחד כדי לספק לתוקפים גישה לנתוני דוא״ל רגישים.

לאחר קבלת ראות לתוך זרימת הדוא״ל, התוכנה הזדונית מחפשת הודעות המכילות קבצים בעלי סיומות DOC, DOCX או PDF, ותואמת לפחות אחד מרשימות קשיות רבות עם כתובות משלח, כתובות נמען, שורות נושא או שמות קבצים מצורפים. דוא״ל העומדים בקריטריונים של הסינון דחוסים, מוצפנים ומעוצבים בקבצים בדיסק, ולאחר מכן הם מוצאים ומחוקים דרך פקודות CerealNeuron.

בהתקפה המכוונת לארגון ממשלתי בעומניה, CerealBox אמור להיות מוגדר לאיסוף דוא״ל הכרוך בכתובות מוסדיות של NATO והאיחוד האירופי, דפוס התואם לעדיפויות אסטרטגיות של רוסיה. פקודות המועברות כתוכניות NET מהודרות מטופלות על ידי CerealRunner, המפרק ומבצע את העומסים בזיכרון ולאחר מכן שולח את התוצאות חזרה ל-CerealNeuron לאקסוד הבא לפעיל ההאיום בפורמט מוצפן.