Den ryskstödda cyberspionagegruppen Turla har använt en ny skadlig verktygssvit kallad Cereal för att samla in e-post från Microsoft Exchange-servrar hos myndigheter, enligt cybersäkerhetsföretaget ESET.
ESET uppgav att företaget först hittade den modulära .NET-skadliga programvaran hos en myndighet i Kazakstan i slutet av 2025. En månad senare hittade forskarna verktygssviten hos en rumänsk myndighet som hade komprometterats den 23 december 2025. Där samlade den selektivt in korrespondens med företrädare för NATO och Europeiska unionen (EU).
En komponent som heter CerealBox injiceras i Exchange-processen EdgeTransport.exe och tar över hanterare som används av befintliga transportagenter. Den kan granska e-postinnehåll och köra kommandon i minnet utan att registrera en ny transportagent eller störa den normala e-postleveransen. Turla konfigurerade den för att samla in meddelanden som uppfyllde kriterier för avsändare, mottagare och ämne, däribland meddelanden med bilagor i formaten .DOC, .DOCX och .PDF.
En annan komponent, CerealNeuron, tar emot krypterade webbförfrågningar med kommandon. Den kan köra CerealRunner-program för att hämta Exchange-e-post, söka i Active Directory, extrahera lokalt lagrade inloggningsuppgifter samt läsa eller radera filer. ESET hittade också CerealHermit, en variant utan nätverksfunktioner som läser kommandon från krypterade filer på disken. Forskarna kunde inte förklara hur angriparna placerar filerna på en server eller hämtar resultaten.
ESET observerade ingen extern kommando- och kontrollinfrastruktur i attacken; den komprometterade Exchange-servern fungerade som kontrollpunkt. Företaget beskrev Cereal som utformat för långvarigt, dolt cyberspionage och uppgav att det delat indikatorer på intrång på GitHub.
Kommentarer
0Inga kommentarer ännu. Skriv den första.