Письма госведомств продолжали доходить до адресатов без задержек и подозрительных ошибок, пока вредоносный модуль незаметно снимал копии с сервера Microsoft Exchange. Компания ESET раскрыла набор инструментов Cereal, который обнаружили в двух государственных организациях Казахстана и Румынии. В последнем случае перехват нацелили на переписку с НАТО и Евросоюзом.
Первые следы Cereal выявили 28 ноября 2025 года на сервере казахстанского ведомства. В румынской организации заражение датировали 23 декабря. Специалисты ESET с высокой уверенностью связали набор с группировкой Turla, в арсенале которой ранее находили Kazuar. Сколько писем успели похитить и каким способом первоначально взломали серверы, в расследовании не уточняется.
Главный компонент CerealBox внедряли в процесс EdgeTransport.exe, который обрабатывает почтовый поток Exchange. Вместо установки нового транспортного агента код перехватывал обработчики уже загруженных модулей и возвращал управление штатным функциям. Письма отправлялись как обычно, а в конфигурации сервера не возникало новой записи, способной выдать посторонний агент.
CerealBox выбирал не всю переписку подряд, а сообщения с вложениями DOC, DOCX или PDF. Адрес отправителя, получатель, тема либо название файла должны были совпасть с заданными условиями. Модуль сжимал подходящие письма, шифровал копии и сохранял на диске. Позже операторы могли забрать подготовленные архивы и удалить оставленные файлы, скрывая следы сбора.
Второй необычный приём касался управления. Бэкдор CerealNeuron не обращался к отдельному командному серверу, а ожидал зашифрованных запросов на самом Exchange. Адреса запросов напоминали штатные службы Outlook Web Access, Autodiscover и ActiveSync. При неверной команде программа показывала похожую на обычную страницу ошибки, затрудняя обнаружение постороннего трафика.
Команды поступали в виде небольших программ .NET внутри зашифрованных контейнеров CerealRunner и запускались в оперативной памяти. Доступные операции включали чтение почтовых ящиков, изучение Active Directory, проверку процессов и сетевых соединений, извлечение сохранённых секретов Windows. Запасной бэкдор CerealHermit получал инструкции из зашифрованных файлов без сетевого канала.
Для скрытого запуска применяли подмену DLL в системных каталогах Windows и кэше заранее скомпилированных библиотек .NET. Ранее Turla использовала почтовый бэкдор LightNeuron, который регистрировался в Exchange как отдельный транспортный агент. CerealBox действует иначе: перехватывает обработчики в памяти, не добавляя записей в настройки почтовой службы.
Описанные атаки касались уже взломанных серверов Exchange, а не всех пользователей Outlook. Конкретные версии Exchange и способ первоначального доступа ESET не назвала; подтверждений заражения облачного Exchange Online нет. Отдельная уязвимость с номером CVE, оценкой CVSS или специальным исправлением для Cereal не объявлена. Для поиска следов заражения ESET опубликовала технические индикаторы.