---
title: ロシア系ハッカー集団が新マルウェアで政府のメールサーバーを標的に
url: https://www.dataloco.com/ja/story-90
published: 2026-11-13T04:22:02+00:00
language: ja
section: セキュリティ
source: https://thehackernews.com/2026/11/russian-turla-hackers-use-new-cereal.html
organizations: Turla, ESET, Microsoft
publisher: Dataloco
---

# ロシア系ハッカー集団が新マルウェアで政府のメールサーバーを標的に

ロシアに連なる国家支援型の脅威アクターであるTurlaは、以前に文書化されていなかったサイバー諜報ツールセット「Cereal」を用いて、被害者のMicrosoft Exchangeサーバーに不正アクセスし、メールを隠密に収集する活動を行っている。

ESETの報告書によると、この洗練されたモジュール型ツールは長期的な情報収集を目的として設計されており、2025年末にカザフスタンとルーマニアの2つの政府機関に対して使用されたことが観測された。このツールはディスク上に痕跡を残すことを最小限に抑え、発見やブロックの可能性がある外部インフラを回避し、正当なExchangeプロセス内に自身を隠蔽するよう作られている。

Cerealは相互に接続されたコンポーネントの集合体であり、Exchangeサーバー上で動作し、コマンドを受信してメモリ内で実行し、感染したネットワークをマッピングし、関心のあるメールを収穫する機能を備えている。初期アクセスの経路は不明だが、このグループはスピアフィッシング、ウォーターホール攻撃、ISPレベルの敵対者間中継攻撃を実施することが知られている。

マルウェアはメールの流れに視認性を獲得すると、DOC、DOCX、またはPDFの添付ファイルを含むメッセージを探し、送信者アドレス、受信者アドレス、件名、または添付ファイル名を含む多数のハードコードされたリストの少なくとも1つと一致させる。フィルタリング基準を満たすメールは圧縮され、暗号化され、ディスク上のファイルにステージングされた後、CerealNeuronのコマンドによって外部に送信され削除される。

ルーマニアの政府機関を標的とした攻撃では、CerealBoxが北約や欧州連合の機関アドレスを含むメールを収集するように設定されていたとされ、これはロシアの戦略的優先事項と整合するパターンを示している。コンパイルされた.NETプログラムとして提供されるコマンドはCerealRunnerによって処理され、ペイロードがメモリ内で展開・実行された後、結果が暗号化形式で脅威アクターに送信される。