Хакерське угруповання Turla використовує нове шкідливе ПЗ Cereal для стеження за серверами Exchange

Дослідники компанії ESET виявили нове шкідливе програмне забезпечення під назвою Cereal, яке використовує хакерське угруповання Turla, пов’язане з Федеральною службою безпеки Росії. Атаки спрямовані на сервери Microsoft Exchange у державних установах. Вперше інструментарій був зафіксований наприкінці 2025 року в Казахстані, а в грудні того ж року — в Румунії, де зловмисники фокусувалися на листуванні з представниками НАТО та Європейського Союзу.

Про це повідомляє BleepingComputer

Технічний механізм Cereal полягає у впровадженні шкідливого коду в процес EdgeTransport.exe, що дозволяє перехоплювати повідомлення без порушення стандартної роботи сервера. Система використовує окремі компоненти: CerealBox для впровадження, CerealNeuron для обробки команд та CerealRunner для їх виконання. Зловмисники вибірково збирали файли у форматах DOC, DOCX та PDF, а також запити до Active Directory.

Після вдосконалення наших методів виявлення ми знайшли цей самий набір інструментів в урядовій організації в Румунії, яка була скомпрометована 23 грудня 2025 року.

— дослідники ESET

Величезний обсяг майже ідентичних бінарних файлів, кожен з яких скомпільований для конкретного завдання, переконливо свідчить про те, що оператори мають внутрішню систему, яка автоматизує компіляцію та пакування команд.

— дослідники ESET

Особливістю атак є відсутність зовнішньої інфраструктури керування; сервер жертви виступає єдиною точкою контролю. Також було виявлено варіант CerealHermit, який зчитує команди з зашифрованих файлів на диску, слугуючи резервним каналом. За словами фахівців ESET, Cereal вирізняється малим слідом на диску та глибоким використанням можливостей платформи .NET для забезпечення тривалого та прихованого доступу до даних.