Rosyjscy hakerzy Turla używają nowego złośliwego oprogramowania Cereal do kradzieży wiadomości e-mail z serwerów rządowych

gray stainless steel padlock — Basil James / Unsplash

Grupa cyberprzestępców powiązana z Rosją, znana jako Turla, również zwana Snake, wykorzystuje wcześniej nieznany zestaw narzędzi do szpiegostwa cybernetycznego o nazwie Cereal w celu włamywania się na serwery Microsoft Exchange ofiar i potajemnego zbierania wiadomości e-mail.

Zgodnie z raportem firmy ESET udostępnionym przed publikacją, zaawansowane i modularne narzędzie zostało zaobserwowane w atakach na dwa podmioty rządowe w Kazachstanie i Rumunii pod koniec 2025 roku. Zestaw narzędzi Cereal jest starannie skonstruowanym instrumentem do długoterminowego i ukrytego szpiegostwa cybernetycznego, pozostawiającym niewiele śladów na dysku i ukrywającym się w legalnych procesach Exchange.

Zestaw narzędzi składa się z połączonych ze sobą komponentów zdolnych do działania na serwerach Microsoft Exchange, odbierania poleceń, wykonywania ich w pamięci, mapowania zainfekowanej sieci i zbierania wiadomości e-mail. Początkowy wektor dostępu użyty do dostarczenia złośliwego oprogramowania jest nieznany, chociaż grupa jest znana z przeprowadzania ataków spear-phishingowych, ataków na strony internetowe oraz ataków na poziomie dostawcy usług internetowych.

Nazwa Cereal pochodzi od faktu, że narzędzia intensywnie wykorzystują serializację, czyli proces konwersji struktury danych lub stanu obiektu na format, który można łatwo przechowywać, przesyłać i rekonstruować. Zestaw Cereal składa się z ośmiu powiązanych ze sobą części. Po uzyskaniu dostępu do przepływu wiadomości e-mail złośliwe oprogramowanie szuka wiadomości zawierających załączniki DOC, DOCX lub PDF i porównuje je z wieloma wbudowanymi listami adresów nadawców, adresów odbiorców, linii tematu lub nazw załączników.

Wiadomości e-mail spełniające kryteria filtrowania są kompresowane, szyfrowane i przechowywane w plikach na dysku, a następnie eksfiltrowane i usuwane za pośrednictwem poleceń CerealNeuron. W ataku na rumuńską organizację rządową CerealBox został skonfigurowany do zbierania wiadomości e-mail dotyczących adresów instytucjonalnych NATO i Unii Europejskiej, co jest zgodne ze strategicznymi priorytetami Rosji.

Polecenia dostarczane jako skompilowane programy .NET są obsługiwane przez CerealRunner, który rozpakuje i wykonuje ładunki w pamięci, a następnie wysyła wyniki z powrotem do CerealNeuron w celu późniejszej eksfiltracji do aktora zagrożenia w zaszyfrowanym formacie. Polecenia obsługują pobieranie skrzynek pocztowych lub określonych wiadomości, przeszukiwanie Active Directory w poszukiwaniu komputerów, użytkowników, grup i rekordów DNS, uruchamianie zapytań Windows Management Instrumentation, wyodrębnianie tajemnic LSA, wyświetlanie migawek woluminów i wykonywanie operacji na plikach.