De Russische groep Turla zet de Cereal-toolset in om e-mails op Microsoft Exchange-servers van overheidsinstanties te onderscheppen.
De door de Russische staat gesteunde dreigingsgroep Turla maakt gebruik van een nieuwe malwaretoolset genaamd 'Cereal' om e-mails op Microsoft Exchange-servers bij overheidsorganisaties te onderscheppen. Cybersecuritybedrijf ESET documenteerde de aanvallen eind 2025, waarbij aanvankelijk modulaire .NET-malware werd aangetroffen op een Exchange-server bij een overheidsinstantie in Kazachstan.
Een maand later ontdekte ESET dezelfde toolset bij een overheidsorganisatie in Roemenië, waar de malware selectief e-mailcorrespondentie verzamelde met vertegenwoordigers van de NAVO en de Europese Unie. Volgens de onderzoekers werd de Roemeense organisatie op 23 december 2025 gecompromitteerd. Turla, ook bekend onder namen als Snake, Secret Blizzard en Waterbug, is een cyber-spionagegroep die al meer dan twintig jaar actief is en wordt gelinkt aan de Russische Federale Veiligheidsdienst (FSB).
In de door ESET geanalyseerde campagne gebruikt Turla de Cereal-toolset, met name een component genaamd CerealBox, die zich injecteert in het EdgeTransport.exe-proces van Exchange. Hierdoor kapen zij de handlers van bestaande transportagents en kunnen zij opdrachten uitvoeren in het geheugen zonder een nieuwe transportagent te registreren of de normale e-mailafhandeling te verstoren. De malware is geconfigureerd om selectief berichten te verzamelen die documentbijlagen bevatten zoals .DOC, .DOCX en .PDF, en die voldoen aan bepaalde criteria voor afzender, ontvanger en onderwerp.
Een andere component, CerealNeuron, wacht op binnenkomende versleutelde webverzoeken via paden die lijken op legitieme Exchange-diensten. Deze verzoeken bevatten opdrachten die CerealNeuron controleert, ontsleutelt en vervolgens uitvoert via het programma CerealRunner, een wrapper die de gewenste code uitvoert. De opdrachten kunnen onder meer het ophalen van e-mails, het opvragen van Active Directory-gegevens, het extraheren van lokaal opgeslagen inloggegevens, het lezen of verwijderen van bestanden omvatten.
ESET merkt op dat de grote hoeveelheid vrijwel identieke binaries, elk gecompileerd voor een specifieke taak, wijst op een intern framework dat de compilatie en verpakking van opdrachten automatiseert. Dit, gecombineerd met een modulaire en uitwisselbare codebasis, duidt op een volwassen en goed ontworpen platform in plaats van een losse verzameling scripts. De CerealRunner-componenten bevatten versleutelde .NET-programma's die in het geheugen van het host-systeem worden uitgevoerd en hun output terugsturen naar CerealNeuron, dat deze output versleuteld terugzendt naar de aanvallers.
Volgens ESET werd er geen externe command-and-control-infrastructuur gebruikt; de gecompromitteerde Exchange-server fungeert als enige controlepunt. Daarnaast werd een variant van CerealNeuron ontdekt, genaamd CerealHermit, die geen netwerkfunctionaliteit heeft maar opdrachten leest uit versleutelde bestanden op de schijf. Deze variant lijkt te dienen als fallback-systeem voor het geval het webkanaal van Neuron niet beschikbaar is. Hoe de aanvallers deze opdrachtbestanden plaatsen of de resultaten ophalen, is niet duidelijk.
De geavanceerde verbergmethoden van Cereal tonen Turla’s diepgaande kennis van .NET-uitvoeringstechnieken, waaronder het misbruiken van de .NET native image cache om binnen legitieme processen te draaien. ESET stelt dat de Cereal-toolset is ontworpen voor langdurige, onopvallende cyberspionage, met een kleine schijfruimte en een infrastructuur die minder snel wordt gedetecteerd en geblokkeerd. Een uitgebreide lijst met indicatoren van compromittering is beschikbaar via ESET.
