I ricercatori di ESET hanno documentato Cereal, un nuovo insieme di strumenti malevoli che il gruppo Turla, legato alla Russia, ha usato per spiare la posta di due enti governativi in Kazakistan e in Romania. Il toolset Turla Cereal si installa sui server Microsoft Exchange, copia in silenzio i messaggi di interesse e usa lo stesso server della vittima come canale di comando, senza infrastrutture esterne da individuare.
Chi è stato colpito da Turla Cereal
Secondo ESET, il toolset è stato individuato il 28 novembre 2025 sul server Exchange di un ente governativo nazionale del Kazakistan. Dopo aver affinato i sistemi di rilevamento, i ricercatori hanno trovato gli stessi strumenti in un ente governativo della Romania, compromesso almeno dal 23 dicembre 2025. Nel caso rumeno il modulo di raccolta era configurato per selezionare le email inviate o ricevute da indirizzi della NATO e dell’Unione europea.
ESET attribuisce Cereal a Turla, noto anche come Snake, con un livello di fiducia elevato, sulla base dell’uso contemporaneo di un componente già collegato pubblicamente al gruppo e delle somiglianze con Neuron, un malware descritto nel 2017 dal National Cyber Security Centre britannico. Turla è attivo almeno dal 2004 ed è considerato da più analisti parte del servizio di sicurezza federale russo (FSB). Il metodo di accesso iniziale non è stato determinato: secondo ESET è possibile che sia stata sfruttata una vulnerabilità, dato che i server Exchange erano raggiungibili da internet.
Come funziona il toolset
Cereal è composto da diversi moduli .NET che lavorano quasi sempre in memoria, senza essere scritti su disco in chiaro. La backdoor principale, CerealNeuron, non contatta server degli attaccanti: resta in ascolto sul server Exchange compromesso e accetta comandi cifrati inviati su percorsi che imitano il normale traffico di Outlook Web Access, Autodiscover e ActiveSync. Per chi osserva la rete, quelle richieste sembrano persone che controllano la posta.
Il modulo CerealBox viene iniettato nel processo EdgeTransport.exe, che gestisce il flusso della posta in Exchange, e si aggancia agli agenti di trasporto già presenti senza registrarne di nuovi. Seleziona i messaggi con allegati .doc, .docx o .pdf che corrispondono a elenchi di mittenti, destinatari, oggetti o nomi di file, li comprime, li cifra e li salva su disco in attesa dell’esfiltrazione, mentre l’email originale arriva regolarmente a destinazione. ESET definisce questa tecnica inedita per qualunque famiglia di malware documentata finora.
Perché è difficile da scoprire
L’assenza di un server di comando esterno toglie ai difensori uno degli indizi più comuni, cioè domini e indirizzi IP da bloccare. I ricercatori non sono riusciti a identificare gli indirizzi da cui operavano gli attaccanti. Il toolset usa inoltre tecniche poco comuni del framework .NET, come l’esecuzione di codice nativo prima del codice .NET e l’abuso della cache delle immagini native, per caricarsi all’interno di processi legittimi di Windows ed Exchange.
Le operazioni puntavano allo spionaggio di lungo periodo, senza interrompere i servizi. Non è la prima campagna di cyberspionaggio statale che raccontiamo: di recente abbiamo scritto dell’Operation FlashHole del gruppo nordcoreano Lazarus e del caso della giornalista australiana Sharri Markson spiata da hacker iraniani.
Cosa possono fare le organizzazioni con Exchange
- Verificare che i server Exchange esposti su internet siano aggiornati con tutte le patch di sicurezza e ridurre al minimo i servizi pubblicati.
- Consultare gli indicatori di compromissione pubblicati da ESET nel white paper e nel proprio repository GitHub e cercarli nei sistemi.
- Controllare la presenza di DLL anomale nella cartella
C:\Windows\System32\wbem\e di file sospetti nella cache delle immagini native .NET, come indicato dai ricercatori. - Monitorare il comportamento dei processi di Exchange, in particolare EdgeTransport.exe, e non limitarsi all’analisi del traffico di rete in uscita.
- Per enti pubblici e aziende italiane, segnalare eventuali anomalie al CSIRT Italia dell’Agenzia per la cybersicurezza nazionale.
Fonti: ESET WeLiveSecurity, ESET white paper, BleepingComputer, Help Net Security.
