Rysk hotaktör Turla använder ny Cereal-skadkod för att stjäla e-post från regeringsservrar

a closed padlock on a black surface — Kedibone Isaac Makhumisane / Unsplash

Den ryskjusterad statssponsrad hotaktör känd som Turla, även kallad Snake, använder en tidigare okänd cyberespionageverktygslåda kallad Cereal för att bryta sig in på offren Microsoft Exchange-servrar med målet att i hemlighet samla in e-post.

Enligt en rapport från ESET som delades med The Hacker News före publicering observerades det sofistikerade och modulära verktyget mot två statliga enheter i Kazakstan och Rumänien i slutet av 2025. ESET beskriver Cereal-verktygslådan som ett noggrant konstruerat instrument för långsiktig, dold cyberespionage som lämnar lite på disk, undviker extern infrastruktur som kan upptäckas och blockeras, och döljer sig inom legitima Exchange-processer.

Verktygslådan är en samling sammankopplade komponenter som kan köras på Microsoft Exchange-servrar, ta emot kommandon, utföra dem i minnet, kartlägga det infekterade nätverket och skörda e-post av intresse. Den initiala åtkomstvektorn som användes för att leverera skadkoden är okänd, även om gruppen är känd för att genomföra spear-phishing, vattenhål och internetleverantörnivå motståndare-i-mitten-attacker.

Cereal får sitt namn från det faktum att verktygen använder serialisering i stor utsträckning, vilket avser processen att konvertera en datastruktur eller ett objekts tillstånd till ett format som lätt kan lagras, överföras och rekonstrueras. Ramverket består av åtta rörliga delar som arbetar tillsammans för att ge angriparna åtkomst till känslig e-postdata.

När skadkoden har fått insyn i e-postflödet letar den efter meddelanden som innehåller DOC, DOCX eller PDF-bilagor och matchar minst en av många hårdkodade listor med avsändaradresser, mottagaradresser, ämnesrader eller bilagsnamn. E-post som uppfyller filtreringskriterierna komprimeras, krypteras och mellanlagras i filer på disk, varefter de exfiltreras och tas bort via CerealNeuron-kommandon.

I attacken riktad mot den rumänska regeringsorganisationen konfigurerades CerealBox för att samla in e-post som involverade NATO och Europeiska unionens institutionella adresser, ett mönster som överensstämmer med Rysslands strategiska prioriteringar. Kommandona som levereras som kompilerade .NET-program hanteras av CerealRunner, som packar upp och utför nyttolasterna i minnet och skickar sedan resultaten tillbaka till CerealNeuron för efterföljande exfiltrering till hotaktören i krypterat format.