---
title: "Хакерське угруповання Turla використовує нове шкідливе ПЗ Cereal для стеження за серверами Exchange"
url: "https://www.faktyua24.com/hakerske-ugrupovannya-turla-vikoristovuye-nove-shkidlive-pz-cereal-stezhennya-serverami-exchange-9abe74/"
published: "2026-11-10T12:04:32+02:00"
modified: "2026-11-10T12:35:59+02:00"
section: "Технології"
language: "uk"
publisher: "Факти Україна 24"
---

# Хакерське угруповання Turla використовує нове шкідливе ПЗ Cereal для стеження за серверами Exchange

![Turla hackers use new Cereal malware to spy on govt Exchange servers](https://www.faktyua24.com/wp-content/uploads/2026/11/163610f4f7aadb73d689917d05a19a95-1024x576.webp)

- Російська група Turla застосовує набір інструментів Cereal для перехоплення електронної пошти на серверах Microsoft Exchange.
- Зловмисники цілеспрямовано викрадали дані урядових організацій у Казахстані та Румунії, зокрема листування з НАТО та ЄС.
- Шкідливе ПЗ працює в пам’яті системи, що дозволяє залишатися непомітним під час тривалого кібершпигунства.

Дослідники компанії ESET виявили нове шкідливе програмне забезпечення під назвою Cereal, яке використовує хакерське угруповання Turla, пов’язане з Федеральною службою безпеки Росії. Атаки спрямовані на сервери Microsoft Exchange у державних установах. Вперше інструментарій був зафіксований наприкінці 2025 року в Казахстані, а в грудні того ж року — в Румунії, де зловмисники фокусувалися на листуванні з представниками НАТО та Європейського Союзу.

Технічний механізм Cereal полягає у впровадженні шкідливого коду в процес EdgeTransport.exe, що дозволяє перехоплювати повідомлення без порушення стандартної роботи сервера. Система використовує окремі компоненти: CerealBox для впровадження, CerealNeuron для обробки команд та CerealRunner для їх виконання. Зловмисники вибірково збирали файли у форматах DOC, DOCX та PDF, а також запити до Active Directory.

> Після вдосконалення наших методів виявлення ми знайшли цей самий набір інструментів в урядовій організації в Румунії, яка була скомпрометована 23 грудня 2025 року.

— дослідники ESET

> Величезний обсяг майже ідентичних бінарних файлів, кожен з яких скомпільований для конкретного завдання, переконливо свідчить про те, що оператори мають внутрішню систему, яка автоматизує компіляцію та пакування команд.

— дослідники ESET

Особливістю атак є відсутність зовнішньої інфраструктури керування; сервер жертви виступає єдиною точкою контролю. Також було виявлено варіант CerealHermit, який зчитує команди з зашифрованих файлів на диску, слугуючи резервним каналом. За словами фахівців ESET, Cereal вирізняється малим слідом на диску та глибоким використанням можливостей платформи .NET для забезпечення тривалого та прихованого доступу до даних.