Russische Turla-hackers gebruiken nieuwe Cereal-malware voor eavesdropping op overheidsnetwerken

yellow and black road sign — Breana Panaguiton / Unsplash

De met Rusland geallieerde, door de staat gesponsorde bedreigingsacteur bekend als Turla, ook wel Snake genoemd, maakt gebruik van een eerder niet gedocumenteerde cyber-spionage-instrumentenset genaamd Cereal. Deze toolset wordt ingezet om in te breken bij Microsoft Exchange-servers van slachtoffers met het doel e-mails verstolen te verzamelen. De aanval richtte zich op het surreptief verzamelen van communicatiegegevens van overheidsinstanties.

Volgens een rapport van het beveiligingsbedrijf ESET, dat voor publicatie met The Hacker News is gedeeld, is het geavanceerde en modulaire instrument ontworpen voor langdurige inlichtingenverzameling. De malware is waargenomen bij twee overheidsentiteiten in Kazachstan en Roemenië aan het einde van 2025. De Slowaakse cybersecurityfirma beschrijft de Cereal-toolset als een zorgvuldig geconstrueerd instrument voor stille, langetermijnspionage. Het systeem laat weinig sporen achter op de schijf, vermijdt externe infrastructuur die ontdekt en geblokkeerd kan worden, en verbergt zich binnen legitieme Exchange-processen.

De toolset bestaat uit een verzameling onderling verbonden componenten die in staat zijn om op Microsoft Exchange-servers te draaien, commando's te ontvangen, deze in het geheugen uit te voeren, het geïnfecteerde netwerk in kaart te brengen en e-mails van belang te oogsten. De initiële toegangsvector die gebruikt werd om de malware te leveren, is onbekend. De groep staat echter bekend om het uitvoeren van spear-phishing, watering hole-aanvallen en adversary-in-the-middle-aanvallen op ISP-niveau. De naam Cereal is afgeleid van het feit dat de tools uitgebreid gebruikmaken van serialisatie, het proces waarbij een datastructuur of de staat van een object wordt omgezet in een formaat dat eenvoudig opgeslagen, verzonden en gereconstrueerd kan worden.

Het Cereal-framework bestaat uit acht bewegende delen die samenwerken om de aanvallers toegang te geven tot gevoelige e-mailgegevens. Na zicht te hebben gekregen op de e-mailstroom, zoekt de malware naar berichten die DOC, DOCX of PDF-bijlagen bevatten. Deze berichten worden afgestemd op ten minste één van de vele ingebouwde lijsten met afzenderadressen, ontvangeradressen, onderwerpregels of bijlagenamen. E-mails die voldoen aan de filtercriteria worden gecomprimeerd, versleuteld en opgeslagen in bestanden op de schijf, waarna ze worden geëxfiltreerd en verwijderd via CerealNeuron-commando's.

In de aanval op de Roemeense overheidsorganisatie zou CerealBox zijn geconfigureerd om e-mails te verzamelen die betrekking hebben op institutionele adressen van de NAVO en de Europese Unie. Dit patroon sluit aan bij de strategische prioriteiten van Rusland. De commando's, geleverd als gecompileerde .NET-programma's, worden afgehandeld door CerealRunner, die de payloads uitpakt en in het geheugen uitvoert. De resultaten worden vervolgens teruggezonden naar CerealNeuron voor daaropvolgende exfiltratie naar de bedreigingsacteur in versleutelde vorm.

De commando's ondersteunen het ophalen van postvakken of specifieke berichten, het in de wachtrij plaatsen van Active Directory voor computers, gebruikers, groepen en DNS-records, het uitvoeren van Windows Management Instrumentation-query's, het extraheren van LSA-geheimen, het oplijsten van volumesnapshots en het uitvoeren van bestandshandelingen. Onderzoeker Matías Porolli van ESET merkte op dat het grote volume van bijna identieke binaries, elk gecompileerd voor een specifieke taak, sterk suggereert dat de operators een intern framework hebben dat de compilatie en verpakking van commando's automatiseert. Dit, gecombineerd met een codebase die is opgebouwd rond modulaire, uitwisselbare componenten, wekt de indruk van een volwassen, goed geëngineerde platform in plaats van een losse verzameling scripts.