Turla utilizza il malware Cereal per spionaggio su server Exchange governativi

Il gruppo di hacker Turla, legato al servizio di sicurezza russo FSB, ha utilizzato un nuovo set di strumenti malevoli chiamati “Cereal” per spionare server Microsoft Exchange di enti governativi. L’attacco, documentato da ESET, ha interessato inizialmente un’organizzazione statale in Kazakhstan e successivamente un’agenzia governativa in Romania, dove sono state raccolte comunicazioni con rappresentanti dell’NATO e dell’Unione Europea. L’attacco è stato rilevato nel 2025 e si è sviluppato in modo mirato, con il malware in grado di intercettare messaggi elettronici senza interrompere la normale attività del server.

Strumenti avanzati per il controllo remoto

Il set di strumenti Cereal include componenti come CerealBox e CerealNeuron, che permettono agli attaccanti di iniettare codice nel processo EdgeTransport.exe del server Exchange e di sfruttare esistenti gestori di trasportatori. Il malware esegue comandi in memoria, evitando di registrare nuovi agenti di trasporto e non disturbando la consegna normale delle email. Inoltre, CerealNeuron attende richieste web cifrate su percorsi simili a quelli dei servizi legittimi di Exchange, eseguendo comandi ricevuti. Questa capacità di operare in modo invisibile e senza infrastruttura esterna di controllo rappresenta un’evoluzione significativa delle tecniche di attacco.

Il malware è stato progettato per operare in modo a lungo termine e stealthy, con un impatto minimo sul sistema e una ridotta probabilità di rilevamento. ESET ha osservato un’ampia gamma di binari simili, compilati per compiti specifici, indicando un framework interno che automatizza la compilazione e l’incapsulamento dei comandi. Questo approccio permette agli attaccanti di eseguire una vasta gamma di operazioni, tra cui la lettura di file, l’estrazione di credenziali e la modifica del contenuto delle email.

Struttura modulare e capacità di espansione

Il codice di Cereal è costruito attorno a componenti modulari e intercambiabili, con un’architettura che suggerisce un’ingegneria ben progettata. I componenti CerealRunner contengono programmi .NET criptati e argomenti necessari per l’esecuzione, che vengono eseguiti in memoria e restituiti a CerealNeuron. Questo approccio permette agli attaccanti di eseguire una vasta gamma di operazioni, tra cui la lettura di file, l’estrazione di credenziali e la modifica del contenuto delle email. CerealHermit funziona come sistema di backup o ridondanza quando il canale web di CerealNeuron non è disponibile. Questo strumento legge i comandi da file criptati sul disco, ma non è chiaro come gli attaccanti possano posizionare tali file sul server o recuperare i risultati delle esecuzioni. L’uso di tecniche avanzate per la nascita del malware, come l’abuso del cache delle immagini native di .NET, dimostra una profonda conoscenza delle metodologie di esecuzione di .NET da parte di Turla.

ESET ha condiviso una lista estesa di indicatori di compromissione (IoCs) sul proprio repository GitHub, permettendo agli esperti di identificare e mitigare eventuali attacchi simili. Il malware Cereal è stato progettato per operare in modo a lungo termine e stealthy, con un impatto minimo sul sistema e una ridotta probabilità di rilevamento. L’attacco rappresenta un ulteriore esempio della capacità di Turla di evolvere le sue tecniche di spionaggio informatico, sfruttando le vulnerabilità dei sistemi Microsoft Exchange per ottenere accesso a dati sensibili.