Den skadliga koden Cereal har gjort det möjligt för ryska statsstödda hackare att avlyssna e-post på Microsoft Exchange-servrar hos myndigheter i Kazakstan och Rumänien. Säkerhetsforskare identifierade verktygssamlingen i slutet av 2025 och beskrev dess roll i en spionagekampanj från Turla den 10 november.
Utredningen avslöjade först den modulära skadliga .NET-koden hos en myndighet i Kazakstan. En månad senare upptäckte forskarna den hos en rumänsk myndighet, där angriparna selektivt samlade in korrespondens som involverade företrädare för Nato och Europeiska unionen.
Turla samlar selektivt in känslig korrespondens
Turla, även känt som Snake, Secret Blizzard och Waterbug, har genomfört cyberspionageoperationer i över två decennier. Säkerhetsforskare kopplar gruppen till Rysslands federala säkerhetstjänst, FSB.
Den rumänska myndigheten drabbades av ett intrång den 23 december 2025. I den komprometterade miljön konfigurerade angriparna sina verktyg för att samla in meddelanden som matchade specifika kriterier för avsändare, mottagare och ämnesrader.
De riktade även in sig på e-postmeddelanden med dokumentbilagor, inklusive DOC-, DOCX- och PDF-filer. Därför fokuserade insamlingen på utvald korrespondens i stället för att urskillningslöst kopiera alla meddelanden som passerade servern.
Den skadliga koden Cereal gömmer sig i normal e-posthantering
En komponent, CerealBox, injicerar kod i Exchange-processen EdgeTransport.exe och tar över hanteringsfunktioner som tillhör befintliga transportagenter. Det gör att komponenten kan granska e-postinnehåll utan att registrera en ny agent eller störa den normala leveransen av meddelanden.
Samtidigt tar en andra komponent, CerealNeuron, emot krypterade webbförfrågningar via sökvägar som liknar legitima Exchange-tjänster. Komponenten kontrollerar och dekrypterar förfrågningarna innan den kör kommandona som de innehåller.
Angriparna paketerar dessa kommandon i CerealRunner-program som innehåller krypterad .NET-kod och de argument som krävs för att köra den. Koden körs i minnet och skickar resultaten till CerealNeuron, som krypterar utdata innan de skickas tillbaka.
De tillgängliga funktionerna omfattar att hämta e-postmeddelanden, göra förfrågningar mot Active Directory och extrahera lokalt lagrade autentiseringsuppgifter. Verktygssamlingen kan även läsa eller radera filer och samla in information om användare, grupper och DNS-poster.
Modulär utformning möjliggör långvarig åtkomst
Forskarna hittade ett stort antal nästan identiska program som hade kompilerats för enskilda uppgifter. Mönstret tyder på att Turla använder ett internt ramverk för att automatisera förberedelsen av kommandon, även om detta fortfarande är forskarnas analytiska bedömning.
Dessutom hittade utredarna ingen separat extern infrastruktur för kommando och kontroll i de observerade attackerna. I stället fungerade den komprometterade Exchange-servern som operationens kontrollpunkt.
En annan komponent, CerealHermit, läser kommandon från krypterade filer som lagras på disken och saknar nätverksfunktioner. Den kan fungera som en reservlösning när CerealNeurons webbkanal blir otillgänglig. Forskarna kunde dock inte fastställa hur angriparna levererar dessa filer eller hämtar resultaten.
Verktygssamlingen Cereal missbrukar även .NET:s cache för inbyggda avbildningar för att köra kod i legitima processer. Tillsammans med den begränsade mängden data som lagras på disken och körningen direkt i minnet möjliggör dessa tekniker långvarig övervakning samtidigt som synliga tecken på intrång begränsas.
Forskarna bedömer att plattformen används för långvarigt och dolt cyberspionage. De har även publicerat indikatorer på kompromettering för att hjälpa säkerhetsansvariga att undersöka miljöer som kan ha drabbats.
0 svar till ”Skadlig kod kallad Cereal riktar sig mot myndigheters Exchange-servrar”