Co się wydarzyło
ESET znalazł Cereal 28 listopada 2025 na serwerze Exchange kazachskiej instytucji rządowej. Rumuńska instytucja została zaatakowana 23 grudnia 2025. Sposobu pierwszego wejścia badacze nie ustalili.
Sterowanie bez serwera napastnika. Główny backdoor, CerealNeuron, nie łączy się z żadną zewnętrzną infrastrukturą. Nasłuchuje na samym serwerze Exchange pod ścieżkami podobnymi do prawdziwych, m.in. /owa/sdds/ i /autodiscover/proxyservice/. Poprawnie zaszyfrowane żądanie jest wykonywane jako polecenie, a każde inne dostaje zwykłą stronę błędu Exchange. ESET nie zdołał ustalić adresów IP operatorów.
Zbieranie poczty. Moduł CerealBox wstrzykuje się do procesu EdgeTransport.exe, czyli usługi transportowej Exchange. Zatrzymuje wiadomości z załącznikami .doc, .docx lub .pdf, które pasują do zapisanych w nim list nadawców, odbiorców, tematów albo nazw plików. Kopie są kompresowane, szyfrowane i odkładane na dysku do późniejszego pobrania. W Rumunii moduł był ustawiony na korespondencję z adresami instytucji NATO i UE.
Najważniejsze ustalenia
- Osiem komponentów, m.in. CerealLoader, CerealNeuron, CerealHermit (wariant bez sieci, polecenia z plików na dysku) i CerealBox.
- Loader podszywa się pod pliki ncobjapi.dll i wbemcomn.dll w katalogu C:\Windows\System32\wbem\.
- Złośliwe pliki trafiały też do pamięci podręcznej obrazów natywnych .NET, np. jako Microsoft.Exchange.Search.Mdb.ni.dll.
- Atrybucja: Turla, z dużą pewnością, m.in. na podstawie użycia komponentu wcześniej publicznie łączonego z tą grupą.
- ESET udostępnił wskaźniki kompromitacji w swoim repozytorium na GitHubie.