Skadevaren Cereal har gjort det mulig for russiske statsstøttede hackere å avlytte e-post på Microsoft Exchange-servere hos offentlige myndigheter i Kasakhstan og Romania. Sikkerhetsforskere identifiserte verktøysettet mot slutten av 2025 og beskrev dets rolle i en spionasjekampanje fra Turla 10. november.
Undersøkelsen avdekket først den modulære .NET-skadevaren hos en offentlig myndighet i Kasakhstan. En måned senere fant forskerne den hos en rumensk myndighet, der angriperne selektivt samlet inn korrespondanse som involverte representanter for NATO og EU.
Turla samler selektivt inn sensitiv korrespondanse
Turla, også kjent som Snake, Secret Blizzard og Waterbug, har gjennomført cyberspionasjeoperasjoner i mer enn to tiår. Sikkerhetsforskere knytter gruppen til Russlands føderale sikkerhetstjeneste, FSB.
Den rumenske myndigheten ble kompromittert 23. desember 2025. I det berørte miljøet konfigurerte angriperne verktøyene sine til å samle inn meldinger som samsvarte med bestemte kriterier for avsender, mottaker og emnefelt.
De rettet seg også mot e-poster med dokumentvedlegg, inkludert DOC-, DOCX- og PDF-filer. Dermed fokuserte innsamlingen på utvalgt korrespondanse fremfor å kopiere alle meldinger som passerte gjennom serveren.
Skadevaren Cereal skjuler seg i normal e-postbehandling
En komponent, CerealBox, injiserer kode i Exchange-prosessen EdgeTransport.exe og overtar behandlingsfunksjoner som tilhører eksisterende transportagenter. Dette gjør det mulig å undersøke e-postinnhold uten å registrere en ny agent eller forstyrre den normale leveringen av meldinger.
Samtidig mottar en annen komponent, CerealNeuron, krypterte webforespørsler gjennom stier som ligner legitime Exchange-tjenester. Komponenten kontrollerer og dekrypterer forespørslene før den kjører kommandoene de inneholder.
Angriperne pakker disse kommandoene inn i CerealRunner-programmer som inneholder kryptert .NET-kode og argumentene som kreves for å kjøre den. Koden kjøres i minnet og sender resultatene til CerealNeuron, som krypterer utdataene før de sendes tilbake.
De tilgjengelige funksjonene omfatter å hente e-poster, utføre spørringer mot Active Directory og hente ut lokalt lagrede autentiseringsopplysninger. Verktøysettet kan også lese eller slette filer og samle inn informasjon om brukere, grupper og DNS-oppføringer.
Modulær utforming muliggjør langvarig tilgang
Forskerne fant en rekke nesten identiske programmer som var kompilert for individuelle oppgaver. Dette mønsteret tyder på at Turla bruker et internt rammeverk for å automatisere klargjøringen av kommandoer, selv om dette fortsatt er en analytisk vurdering.
Undersøkelsen avdekket heller ingen separat ekstern kommando- og kontrollinfrastruktur i de observerte angrepene. I stedet fungerte den kompromitterte Exchange-serveren selv som operasjonens kontrollpunkt.
En annen komponent, CerealHermit, leser kommandoer fra krypterte filer som er lagret på disken, og har ingen nettverksfunksjoner. Den kan fungere som en reserveløsning dersom CerealNeurons webkanal blir utilgjengelig. Forskerne klarte imidlertid ikke å fastslå hvordan angriperne leverer disse filene eller henter resultatene.
Verktøysettet Cereal misbruker også .NETs hurtigbuffer for native avbildninger til å kjøre kode i legitime prosesser. Kombinert med få spor på disken og kjøring direkte i minnet gjør disse teknikkene det mulig å opprettholde langvarig overvåking samtidig som synlige tegn på kompromittering begrenses.
Forskerne vurderer at plattformen brukes til langvarig og skjult cyberspionasje. De har også publisert indikatorer på kompromittering for å hjelpe sikkerhetsansvarlige med å undersøke miljøer som kan være berørt.
0 responses to “Skadevaren Cereal retter seg mot Exchange-servere hos myndigheter”