Russisk Turla-hackergruppe bruker ny Cereal-skadelig programvare til å stjele e-poster fra regjeringsservere

silver and black combination lock — Nicolas HIPPERT / Unsplash

Den russiskalignende statsstøttet trusselaktøren kjent som Turla, også kalt Snake, bruker en tidligere udokumentert cyber-spionasjeverktøysett kalt Cereal for å bryte seg inn i Microsoft Exchange-servere hos ofre med formål om å samle inn e-poster i det skjulte.

Etter en ESET-rapport som ble delt før publisering, er det sofistikerte og modulære verktøyet designet for langsiktig etterretningsinnsamling og har blitt observert mot to statlige enheter i Kasakhstan og Romania i slutten av 2025. Det slovakiske cybersikkerhetsfirmaet sa at verktøysættet er et nøye konstruert instrument for langsiktig og skjult cyber-spionasje som etterlater lite på disk, unngår ekstern infrastruktur som kunne bli oppdaget og blokkert, og skjuler seg innenfor legitime Exchange-prosesser.

Verktøysættet består av sammenkoblede komponenter som kan kjøre på Microsoft Exchange-servere, motta kommandoer, utføre dem i minnet, kartlegge det infiserte nettverket og høste e-poster av interesse. Den innledende tilgangsvektoren som brukes til å levere skadelig programvare er ukjent, selv om gruppen er kjent for å gjennomføre spear-phishing, vannhull og ISP-nivå angripere-i-midten-angrep.

Cereal får sitt navn fra det faktum at verktøyene gjør omfattende bruk av serialisering, som refererer til prosessen med å konvertere en datastruktur eller et objekts tilstand til et format som lett kan lagres, overføres og rekonstrueres. Verktøysættet består av åtte bevegelige deler som arbeider sammen for å gi angriperne tilgang til sensitive e-postdata.

Når skadelig programvare får synlighet inn i e-postflyten, søker den etter meldinger som inneholder DOC, DOCX eller PDF-vedlegg og samsvarer med minst en av mange hardkodede lister med avsenderadresser, mottakeradresser, emnelinjene eller vedleggsnavn. E-poster som oppfyller filtreringskriteriene blir komprimert, kryptert og oppbevart i filer på disk, hvoretter de blir eksfiltrert og slettet via CerealNeuron-kommandoer.

I angrepet rettet mot den rumenske regjeringsorganisasjonen ble CerealBox konfigurert til å samle inn e-poster som involverer NATO og Europeisk union-institusjonelle adresser, et mønster som stemmer overens med Russlands strategiske prioriteringer. Kommandoer levert som kompilerte .NET-programmer håndteres av CerealRunner, som pakker ut og utfører nyttelastene i minnet og sender deretter resultatene tilbake til CerealNeuron for påfølgende eksfiltrering til trusselaktøren i kryptert format.