---
title: Российские хакеры Turla используют новый вредонос Cereal для кражи писем с серверов Exchange правительств
url: https://www.dataloco.com/ru/rossiiskie-xakery-turla-ispolzuiut-novyi-vredonos-cereal-dlia-krazi-pisem-s-serverov-exchange-pravitelstv
published: 2026-11-13T08:30:30+00:00
language: ru
section: Безопасность
source: https://thehackernews.com/2026/11/russian-turla-hackers-use-new-cereal.html
organizations: ESET, Microsoft, Turla
publisher: Dataloco
---

# Российские хакеры Turla используют новый вредонос Cereal для кражи писем с серверов Exchange правительств

Поддерживаемая Россией государственная группа киберпреступников Turla, также известная как Snake, применяет ранее неизвестный набор инструментов кибершпионажа под названием Cereal для взлома серверов Microsoft Exchange жертв с целью скрытного сбора электронных писем.

По данным отчета компании ESET, поделившейся информацией с изданием перед публикацией, сложный и модульный инструмент предназначен для долгосрочного сбора разведданных. Его использование было зафиксировано против двух государственных организаций в Казахстане и Румынии в конце 2025 года.

Компания ESET описала Cereal как тщательно разработанный инструмент для длительного скрытого кибершпионажа. Он оставляет минимум следов на диске, избегает внешней инфраструктуры, которая может быть обнаружена и заблокирована, и скрывается внутри легитимных процессов Exchange.

Набор инструментов состоит из взаимосвязанных компонентов, способных работать на серверах Microsoft Exchange, получать команды, выполнять их в памяти, отображать зараженную сеть и собирать интересующие письма. Первоначальный вектор доступа для доставки вредоноса неизвестен, хотя группа известна проведением фишинговых атак, атак на уязвимые веб-сайты и атак на уровне интернет-провайдера.

Название Cereal происходит от того, что инструменты широко используют сериализацию, процесс преобразования структуры данных или состояния объекта в формат, который можно легко сохранить, передать и восстановить.

После получения доступа к потоку писем вредонос ищет сообщения с вложениями DOC, DOCX или PDF и сравнивает их с множеством жестко закодированных списков адресов отправителей, адресов получателей, строк темы или имен вложений. Письма, соответствующие критериям фильтрации, сжимаются, шифруются и сохраняются в файлы на диске, после чего экспортируются и удаляются через команды CerealNeuron.

При атаке на румынскую государственную организацию CerealBox был настроен на сбор писем, связанных с адресами НАТО и Европейского союза, что соответствует стратегическим приоритетам России. Команды, доставляемые как скомпилированные программы на языке .NET, обрабатываются CerealRunner, который распаковывает и выполняет полезные нагрузки в памяти, а затем отправляет результаты обратно в CerealNeuron для последующего экспорта угрозе в зашифрованном формате.

## This story in other languages

- [日本語](https://www.dataloco.com/ja/story-90)
- [한국어](https://www.dataloco.com/ko/story-123)
- [עברית](https://www.dataloco.com/he/story-137)