Malwaren Cereal har gjort det muligt for russiske statsstøttede hackere at opsnappe e-mails på Microsoft Exchange-servere hos offentlige myndigheder i Kasakhstan og Rumænien. Sikkerhedsforskere identificerede værktøjssamlingen i slutningen af 2025 og beskrev dens rolle i en spionagekampagne fra Turla den 10. november.
Undersøgelsen afslørede først den modulære .NET-malware hos en offentlig myndighed i Kasakhstan. En måned senere fandt forskerne den hos en rumænsk myndighed, hvor angriberne selektivt indsamlede korrespondance, der involverede repræsentanter for NATO og EU.
Turla indsamler selektivt følsom korrespondance
Turla, også kendt som Snake, Secret Blizzard og Waterbug, har gennemført cyberspionageoperationer i mere end to årtier. Sikkerhedsforskere forbinder gruppen med Ruslands føderale sikkerhedstjeneste, FSB.
Den rumænske myndighed blev kompromitteret den 23. december 2025. I det berørte miljø konfigurerede angriberne deres værktøjer til at indsamle beskeder, der matchede bestemte kriterier for afsender, modtager og emnefelt.
De målrettede også e-mails med dokumentvedhæftninger, herunder DOC-, DOCX- og PDF-filer. Derfor fokuserede indsamlingen på udvalgt korrespondance frem for at kopiere alle beskeder, der passerede gennem serveren.
Malwaren Cereal skjuler sig i normal e-mailbehandling
En komponent, CerealBox, injicerer kode i Exchange-processen EdgeTransport.exe og overtager håndteringsfunktioner, der tilhører eksisterende transportagenter. Det gør det muligt at undersøge e-mailindhold uden at registrere en ny agent eller forstyrre den normale levering af beskeder.
Samtidig modtager en anden komponent, CerealNeuron, krypterede webanmodninger gennem stier, der ligner legitime Exchange-tjenester. Komponenten kontrollerer og dekrypterer anmodningerne, før den udfører de kommandoer, de indeholder.
Angriberne pakker disse kommandoer i CerealRunner-programmer, som indeholder krypteret .NET-kode og de argumenter, der kræves for at udføre den. Koden køres i hukommelsen og sender resultaterne til CerealNeuron, som krypterer outputtet, før det sendes tilbage.
De tilgængelige funktioner omfatter hentning af e-mails, forespørgsler til Active Directory og udtræk af lokalt gemte loginoplysninger. Værktøjssamlingen kan også læse eller slette filer og indsamle oplysninger om brugere, grupper og DNS-poster.
Modulært design muliggør langvarig adgang
Forskerne fandt adskillige næsten identiske programmer, der var kompileret til individuelle opgaver. Dette mønster tyder på, at Turla bruger en intern ramme til at automatisere forberedelsen af kommandoer, selv om det fortsat er en analytisk vurdering.
Desuden fandt undersøgelsen ingen separat ekstern kommando- og kontrolinfrastruktur i de observerede angreb. I stedet fungerede den kompromitterede Exchange-server selv som operationens kontrolpunkt.
En anden komponent, CerealHermit, læser kommandoer fra krypterede filer, der er gemt på disken, og har ingen netværksfunktioner. Den kan fungere som en reserveløsning, hvis CerealNeurons webkanal bliver utilgængelig. Forskerne kunne dog ikke fastslå, hvordan angriberne leverer disse filer eller henter resultaterne.
Værktøjssamlingen Cereal misbruger også .NET’s cache til native images for at køre kode i legitime processer. Kombineret med det begrænsede antal spor på disken og udførelse direkte i hukommelsen understøtter disse teknikker langvarig overvågning, samtidig med at synlige tegn på kompromittering begrænses.
Forskerne vurderer, at platformen bruges til langvarig og skjult cyberspionage. De har også offentliggjort indikatorer på kompromittering for at hjælpe sikkerhedsansvarlige med at undersøge miljøer, der kan være berørt.
0 svar til “Malwaren Cereal er rettet mod myndigheders Exchange-servere”