Schadsoftware Cereal zielt auf Exchange-Server von Behörden ab

Die Schadsoftware Cereal hat es staatlich unterstützten russischen Hackern ermöglicht, E-Mails auf Microsoft-Exchange-Servern von Regierungsbehörden in Kasachstan und Rumänien abzufangen. Sicherheitsforscher identifizierten die Werkzeugsammlung Ende 2025 und beschrieben am 10. November ihre Rolle in einer Spionagekampagne der Hackergruppe Turla.

Die Untersuchung deckte die modulare .NET-Schadsoftware zunächst bei einer Regierungsbehörde in Kasachstan auf. Einen Monat später entdeckten die Forscher sie bei einer rumänischen Behörde, wo die Angreifer gezielt Korrespondenz mit Vertretern der NATO und der Europäischen Union sammelten.

Turla sammelt gezielt sensible Korrespondenz

Turla, auch bekannt als Snake, Secret Blizzard und Waterbug, führt seit mehr als zwei Jahrzehnten Cyberspionageoperationen durch. Sicherheitsforscher bringen die Gruppe mit dem russischen Inlandsgeheimdienst FSB in Verbindung.

Die rumänische Behörde wurde am 23. Dezember 2025 kompromittiert. In der betroffenen Umgebung konfigurierten die Angreifer ihre Werkzeuge so, dass sie Nachrichten anhand bestimmter Kriterien für Absender, Empfänger und Betreffzeilen sammelten.

Sie zielten außerdem auf E-Mails mit Dokumentanhängen ab, darunter DOC-, DOCX- und PDF-Dateien. Dadurch konzentrierte sich die Datensammlung auf ausgewählte Korrespondenz, anstatt wahllos sämtliche Nachrichten zu kopieren, die den Server passierten.

Schadsoftware Cereal versteckt sich in der normalen E-Mail-Verarbeitung

Eine Komponente namens CerealBox injiziert Code in den Exchange-Prozess EdgeTransport.exe und übernimmt Verarbeitungsfunktionen bestehender Transport-Agents. Dadurch kann sie E-Mail-Inhalte untersuchen, ohne einen neuen Agent zu registrieren oder die reguläre Zustellung von Nachrichten zu unterbrechen.

Eine zweite Komponente namens CerealNeuron empfängt währenddessen verschlüsselte Webanfragen über Pfade, die legitimen Exchange-Diensten ähneln. Sie überprüft und entschlüsselt diese Anfragen, bevor sie die darin enthaltenen Befehle ausführt.

Die Angreifer verpacken diese Befehle in CerealRunner-Programme, die verschlüsselten .NET-Code und die für seine Ausführung erforderlichen Argumente enthalten. Der Code wird direkt im Arbeitsspeicher ausgeführt und übermittelt seine Ergebnisse an CerealNeuron. Diese Komponente verschlüsselt die Ausgaben, bevor sie zurückgesendet werden.

Zu den verfügbaren Funktionen gehören das Abrufen von E-Mails, Abfragen von Active Directory und das Extrahieren lokal gespeicherter Zugangsdaten. Die Werkzeugsammlung kann außerdem Dateien lesen oder löschen sowie Informationen über Benutzer, Gruppen und DNS-Einträge sammeln.

Modularer Aufbau ermöglicht langfristigen Zugriff

Die Forscher entdeckten zahlreiche nahezu identische Programme, die jeweils für einzelne Aufgaben kompiliert worden waren. Dieses Muster deutet darauf hin, dass Turla ein internes Framework verwendet, um die Vorbereitung von Befehlen zu automatisieren. Allerdings handelt es sich dabei weiterhin um eine analytische Einschätzung.

Darüber hinaus fanden die Forscher bei den beobachteten Angriffen keine separate externe Kommando- und Kontrollinfrastruktur. Stattdessen diente der kompromittierte Exchange-Server selbst als Kontrollpunkt der Operation.

Eine weitere Komponente namens CerealHermit liest Befehle aus verschlüsselten Dateien, die auf der Festplatte gespeichert sind, und verfügt über keine Netzwerkfunktionen. Sie könnte als Ausweichlösung dienen, wenn der Webkanal von CerealNeuron nicht verfügbar ist. Die Forscher konnten jedoch nicht feststellen, wie die Angreifer diese Dateien bereitstellen oder die Ergebnisse abrufen.

Die Cereal-Werkzeugsammlung missbraucht außerdem den Cache für native .NET-Images, um Code innerhalb legitimer Prozesse auszuführen. Zusammen mit den wenigen auf der Festplatte hinterlassenen Spuren und der Ausführung direkt im Arbeitsspeicher ermöglichen diese Techniken eine langfristige Überwachung, während sichtbare Anzeichen einer Kompromittierung begrenzt bleiben.

Die Forscher gehen davon aus, dass die Plattform für langfristige und verdeckte Cyberspionage eingesetzt wird. Sie haben außerdem Indikatoren für eine Kompromittierung veröffentlicht, um Sicherheitsteams bei der Untersuchung möglicherweise betroffener Umgebungen zu unterstützen.