O grupo russo de ciberespionagem Turla, ligado ao Estado, tem usado um novo conjunto de ferramentas maliciosas chamado Cereal para interceptar e-mails em servidores Microsoft Exchange de organizações governamentais.
Pesquisadores da empresa de cibersegurança ESET documentaram os ataques no fim de 2025. Inicialmente, encontraram um malware modular em .NET voltado ao Microsoft Exchange em um órgão governamental do Cazaquistão.
Um mês depois, a ESET identificou o mesmo conjunto de ferramentas em uma agência governamental da Romênia. Nesse caso, o grupo coletava seletivamente e-mails trocados com representantes da Organização do Tratado do Atlântico Norte (OTAN) e da União Europeia (UE).
“Depois de aprimorarmos nossos mecanismos de detecção, encontramos o mesmo conjunto de ferramentas em uma organização governamental da Romênia, comprometida em 23 de dezembro de 2025”, afirmam os pesquisadores em um relatório divulgado hoje.
Turla, também conhecido como Snake, Secret Blizzard e Waterbug, é um grupo de ciberespionagem ativo há mais de duas décadas e ligado ao Serviço Federal de Segurança da Rússia (FSB).
Na campanha analisada pela ESET, os invasores usam o conjunto Cereal e, especificamente, um componente chamado CerealBox. Ele é injetado no processo EdgeTransport.exe do Exchange e intercepta os manipuladores de agentes de transporte já existentes.
O malware executa comandos na memória e pode inspecionar o conteúdo dos e-mails sem registrar um novo agente de transporte nem interromper a entrega normal de mensagens no servidor Exchange.
O Turla configurou o malware para coletar seletivamente mensagens com anexos de documentos, como arquivos .DOC, .DOCX e .PDF, além de filtrar correspondências com base em critérios específicos de remetente, destinatário e assunto.
Outro componente malicioso, chamado CerealNeuron, aguarda solicitações web criptografadas em caminhos semelhantes aos de serviços legítimos do Exchange. Essas solicitações contêm comandos para execução.
O CerealNeuron verifica e descriptografa a solicitação e, em seguida, executa o CerealRunner, um programa intermediário que contém o código que os invasores querem executar.
Os comandos podem incluir instruções para recuperar e-mails do Exchange, consultar o Active Directory em busca de usuários, grupos e registros DNS, extrair credenciais armazenadas localmente, ler arquivos ou apagá-los.
“O grande número de binários quase idênticos, cada um compilado para uma tarefa específica, sugere fortemente que os operadores têm uma estrutura interna que automatiza a compilação e o empacotamento dos comandos”, afirma a ESET sobre os programas descartáveis usados para transportar comandos. “Combinada a uma base de código organizada em componentes modulares e intercambiáveis, essa estrutura indica uma plataforma madura e bem desenvolvida, e não apenas um conjunto desarticulado de scripts.”
Os componentes do CerealRunner contêm programas em .NET criptografados e os argumentos necessários para executá-los. Eles são executados na memória do computador comprometido e, depois, enviam os resultados ao CerealNeuron.
Por fim, o CerealNeuron criptografa os resultados e os envia de volta aos invasores.
A ESET não observou o uso de uma infraestrutura externa de comando e controle (C2) no ataque. Assim, o próprio servidor Exchange comprometido servia como único ponto de controle.
Os pesquisadores também identificaram uma variante do CerealNeuron chamada CerealHermit, sem recursos de rede. Em vez disso, ela lê comandos armazenados em arquivos criptografados no disco.
O CerealHermit pode funcionar como mecanismo de contingência caso o canal web do Neuron fique indisponível. No entanto, a ESET não explicou como os invasores colocam os arquivos de comando do Hermit no servidor nem como recuperam os resultados da execução.
Segundo os pesquisadores, as técnicas avançadas de ocultação do Cereal demonstram o profundo conhecimento do Turla sobre métodos de execução em .NET. Entre elas está o abuso do cache de imagens nativas do .NET para executar código dentro de processos legítimos.
A ESET afirma que o conjunto de ferramentas Cereal foi desenvolvido para “ciberespionagem furtiva de longo prazo”. Ele ocupa pouco espaço em disco e depende de uma infraestrutura menos suscetível à detecção e ao bloqueio.
A ESET publicou uma lista ampliada de indicadores de comprometimento em sua página no GitHub.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...