El grupo de ciberespionaje respaldado por el Estado ruso Turla ha utilizado un nuevo conjunto de herramientas maliciosas llamado Cereal para recopilar correos electrónicos de servidores Microsoft Exchange de organismos gubernamentales, según la empresa de ciberseguridad ESET.
ESET indicó que encontró por primera vez el malware modular .NET en un organismo gubernamental de Kazajistán a finales de 2025. Un mes después, los investigadores hallaron el conjunto de herramientas en una agencia gubernamental rumana que había sido comprometida el 23 de diciembre de 2025. Allí recopilaba de forma selectiva correspondencia con representantes de la OTAN y la Unión Europea (UE).
Un componente llamado CerealBox se inyecta en el proceso EdgeTransport.exe de Exchange y secuestra los controladores utilizados por agentes de transporte existentes. Puede inspeccionar el contenido del correo y ejecutar comandos en memoria sin registrar un nuevo agente de transporte ni interrumpir la entrega normal del correo. Turla lo configuró para recopilar mensajes que cumplieran criterios de remitente, destinatario y asunto, incluidos los que tuvieran adjuntos .DOC, .DOCX y .PDF.
Otro componente, CerealNeuron, recibe solicitudes web cifradas que contienen comandos. Puede ejecutar programas CerealRunner para recuperar correos de Exchange, consultar Active Directory, extraer credenciales almacenadas localmente y leer o eliminar archivos. ESET también encontró CerealHermit, una variante sin capacidades de red que lee comandos de archivos cifrados en el disco. Los investigadores dijeron que no podían explicar cómo los atacantes colocan esos archivos en un servidor ni cómo recuperan los resultados.
ESET no observó infraestructura externa de mando y control en el ataque; el servidor Exchange comprometido actuó como punto de control. La empresa describió Cereal como una herramienta diseñada para el ciberespionaje sigiloso a largo plazo y dijo que compartió indicadores de compromiso en GitHub.
Comentarios
0Aún no hay comentarios. Escribe el primero.