Turla, Cereal Kötü Amaçlı Yazılımıyla Devlet Kurumlarının Exchange Sunucularını Gözetliyor

Rusya devlet destekli siber casusluk grubu Turla, ESET siber güvenlik şirketine göre, devlet kurumlarındaki Microsoft Exchange sunucularından e-posta toplamak için Cereal adlı yeni bir kötü amaçlı yazılım araç seti kullandı.

ESET, modüler .NET kötü amaçlı yazılımını ilk olarak 2025'in sonlarında Kazakistan'daki bir devlet kurumunda bulduğunu söyledi. Araştırmacılar bir ay sonra, 23 Aralık 2025'te ele geçirilmiş bir Romanya devlet kurumunda aynı araç setine rastladı. Araç seti burada NATO ve Avrupa Birliği (AB) temsilcileriyle yazışmaları seçerek topladı.

CerealBox adlı bileşen, Exchange'in EdgeTransport.exe sürecine enjekte oluyor ve mevcut taşıma aracıları tarafından kullanılan işleyicileri ele geçiriyor. Yeni bir taşıma aracısı kaydetmeden veya normal e-posta iletimini kesintiye uğratmadan e-posta içeriğini inceleyebiliyor ve bellekte komut çalıştırabiliyor. Turla, bu bileşeni belirli gönderici, alıcı ve konu ölçütlerine uyan mesajları; .DOC, .DOCX ve .PDF ekleri olanlar da dahil, toplamak üzere yapılandırdı.

Başka bir bileşen olan CerealNeuron, komut taşıyan şifreli web isteklerini alıyor. Exchange e-postalarını almak, Active Directory'yi sorgulamak, yerel olarak saklanan kimlik bilgilerini çıkarmak, dosyaları okumak veya silmek için CerealRunner programlarını çalıştırabiliyor. ESET ayrıca ağ yetenekleri olmayan ve komutları diskteki şifreli dosyalardan okuyan CerealHermit adlı bir varyant buldu. Araştırmacılar, saldırganların bu dosyaları sunucuya nasıl koyduğunu veya sonuçları nasıl aldığını açıklayamadıklarını belirtti.

ESET saldırıda harici bir komuta-kontrol altyapısı gözlemlemedi; ele geçirilmiş Exchange sunucusu kontrol noktası olarak kullanıldı. Şirket, Cereal'ın uzun süreli ve gizli siber casusluk için tasarlandığını söyledi ve ihlal göstergelerini GitHub'da paylaştı.