Российские хакеры Turla используют новый вредонос Cereal для кражи писем с серверов Exchange правительств

Поддерживаемая Россией государственная группа киберпреступников Turla, также известная как Snake, применяет ранее неизвестный набор инструментов кибершпионажа под названием Cereal для взлома серверов Microsoft Exchange жертв с целью скрытного сбора электронных писем.

По данным отчета компании ESET, поделившейся информацией с изданием перед публикацией, сложный и модульный инструмент предназначен для долгосрочного сбора разведданных. Его использование было зафиксировано против двух государственных организаций в Казахстане и Румынии в конце 2025 года.

Компания ESET описала Cereal как тщательно разработанный инструмент для длительного скрытого кибершпионажа. Он оставляет минимум следов на диске, избегает внешней инфраструктуры, которая может быть обнаружена и заблокирована, и скрывается внутри легитимных процессов Exchange.

Набор инструментов состоит из взаимосвязанных компонентов, способных работать на серверах Microsoft Exchange, получать команды, выполнять их в памяти, отображать зараженную сеть и собирать интересующие письма. Первоначальный вектор доступа для доставки вредоноса неизвестен, хотя группа известна проведением фишинговых атак, атак на уязвимые веб-сайты и атак на уровне интернет-провайдера.

Название Cereal происходит от того, что инструменты широко используют сериализацию, процесс преобразования структуры данных или состояния объекта в формат, который можно легко сохранить, передать и восстановить.

После получения доступа к потоку писем вредонос ищет сообщения с вложениями DOC, DOCX или PDF и сравнивает их с множеством жестко закодированных списков адресов отправителей, адресов получателей, строк темы или имен вложений. Письма, соответствующие критериям фильтрации, сжимаются, шифруются и сохраняются в файлы на диске, после чего экспортируются и удаляются через команды CerealNeuron.

При атаке на румынскую государственную организацию CerealBox был настроен на сбор писем, связанных с адресами НАТО и Европейского союза, что соответствует стратегическим приоритетам России. Команды, доставляемые как скомпилированные программы на языке .NET, обрабатываются CerealRunner, который распаковывает и выполняет полезные нагрузки в памяти, а затем отправляет результаты обратно в CerealNeuron для последующего экспорта угрозе в зашифрованном формате.