Хакери од групата Turla користат нов малициозен софтвер Cereal за шпионирање на владините Exchange сервери

Руската државно поддржана хакерска група Turla користи нов сет малициозни алатки наречен „Cereal“ за пресретнување на електронска пошта на Microsoft Exchange сервери во владините организации.

Истражувачите од компанијата за сајбер-безбедност ESET ги документирале нападите кон крајот на 2025 година, кога првично откриле модуларен малициозен софтвер базиран на .NET, наменет за Microsoft Exchange, во една владина институција во Казахстан.

Еден месец подоцна, ESET го открил истиот сет алатки во владина агенција во Романија, каде што селективно биле собирани електронски пораки и преписки со претставници на Организацијата на Северноатлантскиот договор (NATO) и Европската Унија (EU).

„По дополнителното приспособување на нашите механизми за откривање, го пронајдовме истиот сет алатки во владина организација во Романија, која била компромитирана на 23 декември 2025 година“, наведуваат истражувачите во денешниот извештај.

Turla, позната и под имињата Snake, Secret Blizzard и Waterbug, е група за сајбер-шпионажа која е активна повеќе од две децении и се поврзува со руската Федерална служба за безбедност (FSB).

Во кампањата анализирана од ESET, хакерите го користат сетот алатки Cereal, а особено една негова компонента наречена CerealBox, за да се вметнат во процесот EdgeTransport.exe на Exchange и да ги преземат функциите на постојните обработувачи (handlers) на транспортните агенти.

Малициозниот софтвер извршува команди директно во меморијата и може да ја проверува содржината на електронските пораки без регистрирање нов транспортен агент или нарушување на нормалната испорака на е-поштата на Exchange серверот.

Turla го конфигурирала малициозниот софтвер селективно да собира пораки што содржат прилози со документи во формати како .DOC, .DOCX и .PDF, како и да ги филтрира според одредени критериуми поврзани со испраќачот, примачот и насловот на пораката.

Друга компонента на малициозниот софтвер, наречена CerealNeuron, чека пристигнување на шифрирани веб-барања на патеки што наликуваат на легитимни Exchange сервиси. Овие барања содржат команди што треба да се извршат.

CerealNeuron ги проверува и дешифрира примените барања, а потоа ја извршува доставената програма CerealRunner. Станува збор за помошна програма (wrapper) која го содржи кодот што напаѓачите сакаат да го извршат.

Командите може да содржат код за преземање електронски пораки од Exchange, пребарување на корисници, групи и DNS-записи во Active Directory, извлекување локално зачувани податоци за автентикација, читање датотеки или нивно бришење.

„Огромниот број речиси идентични бинарни датотеки, од кои секоја е компајлирана за конкретна задача, силно укажува на тоа дека операторите располагаат со интерна рамка која автоматски го извршува компајлирањето и пакувањето на командите“, наведува ESET во својот извештај, осврнувајќи се на привремените програми што служат како носители на командите.

„Во комбинација со програмски код изграден врз модуларни компоненти што можат меѓусебно да се заменуваат, се добива впечаток за зрела и добро инженерски развиена платформа, а не за неорганизирана колекција од скрипти.“

Компонентите на CerealRunner содржат шифрирани .NET програми и аргументи потребни за нивно извршување. Тие се извршуваат директно во меморијата на компромитираниот систем, по што резултатите се враќаат до CerealNeuron.

На крајот, CerealNeuron ги шифрира добиените резултати и ги испраќа назад до напаѓачите.

ESET не забележал користење надворешна инфраструктура за командување и контрола (C2) во нападот, што значи дека самиот компромитиран Exchange сервер служел како единствена контролна точка.

Истражувачите откриле и варијанта на CerealNeuron наречена CerealHermit, која нема мрежни можности, туку наместо тоа ги чита командите од шифрирани датотеки зачувани на дискот.

CerealHermit може да служи како резервен систем во случај веб-каналот на CerealNeuron да стане недостапен. Сепак, ESET не објаснил како напаѓачите ги поставуваат командните датотеки на серверот или како ги преземаат резултатите од нивното извршување.

Истражувачите забележуваат дека напредните методи за прикривање што ги користи Cereal го демонстрираат длабокото познавање на Turla на техниките за извршување на .NET код, вклучително и злоупотребата на кешот за .NET native images за извршување во рамките на легитимни процеси.

ESET наведува дека сетот алатки Cereal е дизајниран за „долгорочна и прикриена сајбер-шпионажа“, со минимално присуство на дискот и користење инфраструктура за која постои помала веројатност да биде откриена и блокирана.

Компанијата објави и проширена листа на индикатори за компромитирање (IoC) на својата GitHub страница.

Извори:

• Bleeping Computer – Turla hackers use new Cereal malware to spy on govt Exchange servers Bleeping Computer