--- title: Turla impiega il nuovo malware Cereal per rubare email dai server governativi url: https://www.dataloco.com/it/turla-impiega-il-nuovo-malware-cereal-per-rubare-email-dai-server-governativi published: 2026-11-13T09:24:53+00:00 language: it section: Sicurezza source: https://thehackernews.com/2026/11/russian-turla-hackers-use-new-cereal.html organizations: ESET, Microsoft, Turla, NATO, European Union, The Hacker News publisher: Dataloco --- # Turla impiega il nuovo malware Cereal per rubare email dai server governativi L'attore di minacce statalmente sponsorizzato allineato alla Russia, noto come Turla, sta utilizzando un kit di strumenti di cyber spionaggio precedentemente non documentato chiamato Cereal per infiltrarsi nei server Microsoft Exchange delle vittime con l'obiettivo di raccogliere email in modo surrettizio. Questo attacco mira a compromettere le infrastrutture di comunicazione di enti governativi attraverso tecniche sofisticate e moduli integrati progettati per l'accesso persistente. Secondo un rapporto di ESET condiviso con The Hacker News prima della pubblicazione, lo strumento sofisticato e modulare è progettato per la raccolta di intelligence a lungo termine ed è stato osservato contro due entità governative in Kazakistan e Romania alla fine del 2025. L'azienda slovacca di cybersecurity ha dichiarato che il kit Cereal è uno strumento accuratamente costruito per il cyber spionaggio stealth a lungo termine. Lascia poche tracce sul disco, evita infrastrutture esterne che potrebbero essere scoperte e bloccate e si nasconde all'interno di processi Exchange legittimi. Il kit dimostra che per Turla i server Exchange non sono solo server di posta, ma punti di raccolta durevoli, hub di esecuzione interni e un ambiente adatto per nascondere tecniche .NET sofisticate. Il kit è una raccolta di componenti interconnessi in grado di funzionare sui server Microsoft Exchange, ricevere comandi, eseguirli in memoria, mappare la rete infetta e raccogliere email di interesse. Il vettore di accesso iniziale utilizzato per consegnare il malware è sconosciuto, sebbene il gruppo sia noto per condurre attacchi di spear-phishing, watering hole e adversary-in-the-middle a livello di ISP. Cereal prende il nome dal fatto che gli strumenti fanno ampio uso della serializzazione, che si riferisce al processo di conversione di una struttura dati o dello stato di un oggetto in un formato che può essere facilmente archiviato, trasmesso e ricostruito. Una serie di aspetti rende il malware distinto. La combinazione di queste tecniche mostra che l'attore di minacce possiede una profonda comprensione del funzionamento interno di Microsoft Exchange. Il framework Cereal consiste in otto parti mobili che lavorano insieme per fornire agli attaccanti l'accesso a dati email sensibili. Dopo aver ottenuto visibilità sul flusso di email, il malware cerca messaggi contenenti allegati DOC, DOCX o PDF e corrisponde almeno uno di molti elenchi codificati con indirizzi del mittente, indirizzi del destinatario, righe dell'oggetto o nomi degli allegati. Le email che soddisfano i criteri di filtraggio vengono compresse, crittografate e archiviate in file su disco, dopo di che vengono esfiltrate ed eliminate tramite comandi CerealNeuron. Nell'attacco mirato all'organizzazione governativa rumena, CerealBox è stato configurato per raccogliere email che coinvolgono indirizzi istituzionali della NATO e dell'Unione Europea, un modello che si allinea con le priorità strategiche della Russia. I comandi consegnati come programmi .NET compilati sono gestiti da CerealRunner, che scompatta ed esegue i payload in memoria e invia quindi i risultati a CerealNeuron per la successiva esfiltrazione all'attore di minacce in formato crittografato. I comandi supportano il recupero di cassette postali o messaggi specifici, la coda di Active Directory per computer, utenti, gruppi e record DNS, l'esecuzione di query Windows Management Instrumentation, l'estrazione di segreti LSA, l'elenco degli snapshot del volume e l'esecuzione di operazioni sui file. Il volume di binari quasi identici, ciascuno compilato per un compito specifico, suggerisce fortemente che gli operatori hanno un framework interno che automatizza la compilazione e l'imballaggio dei comandi. Combinato con una base di codice costruita attorno a componenti modulari e intercambiabili, l'impressione è quella di una piattaforma matura e ben ingegnerizzata piuttosto che una raccolta disordinata di script. ## This story in other languages - [日本語](https://www.dataloco.com/ja/story-90) - [한국어](https://www.dataloco.com/ko/story-123) - [Русский](https://www.dataloco.com/ru/rossiiskie-xakery-turla-ispolzuiut-novyi-vredonos-cereal-dlia-krazi-pisem-s-serverov-exchange-pravitelstv) - [עברית](https://www.dataloco.com/he/story-137) - [Deutsch](https://www.dataloco.com/de/russische-spionagegruppe-turla-nutzt-neues-cereal-werkzeug-fur-e-mail-diebstahl) - [Español](https://www.dataloco.com/es/el-grupo-turla-despliega-el-malware-cereal-para-espiar-servidores-de-correo-gubernamentales) - [Français](https://www.dataloco.com/fr/les-pirates-russes-turla-utilisent-un-nouveau-malware-cereal-pour-voler-des-courriels-sur-les-serveurs-exchange-gouvernementaux) - [Svenska](https://www.dataloco.com/sv/rysk-hotaktor-turla-anvander-ny-cereal-skadkod-for-att-stjala-e-post-fran-regeringsservrar) - [Norsk](https://www.dataloco.com/no/russisk-turla-hackergruppe-bruker-ny-cereal-skadelig-programvare-til-a-stjele-e-poster-fra-regjeringsservere) - [Polski](https://www.dataloco.com/pl/rosyjscy-hakerzy-turla-uzywaja-nowego-zlosliwego-oprogramowania-cereal-do-kradziezy-wiadomosci-e-mail-z-serwerow-rzadowych) - [Nederlands](https://www.dataloco.com/nl/russische-turla-hackers-gebruiken-nieuwe-cereal-malware-voor-eavesdropping-op-overheidsnetwerken)