ESET Research veröffentlichte am 10. November 2026 Erkenntnisse zu Cereal, einem zuvor nicht dokumentierten .NET-Toolset, das auf Microsoft-Exchange-Systemen zweier Regierungsorganisationen in Kasachstan und Rumänien gefunden wurde. ESET ordnet Cereal mit hoher Zuversicht der Gruppe Turla zu. Das Toolset erfüllte laut ESET zwei unterschiedliche Aufgaben: CerealBox filterte ausgewählte Nachrichten, CerealNeuron nahm Anfragen über den kompromittierten Server entgegen. ESETs technische Analyse
Zwei Regierungsumgebungen, unterschiedliche Zeitpunkte
ESET datiert den Fund in Kasachstan auf den 28. November 2025. Die rumänische Regierungsorganisation war demnach seit dem 23. Dezember 2025 kompromittiert. In beiden Fällen registrierte ESET im Januar 2026 einen Anstieg der Angreiferaktivität: am 15. Januar in Kasachstan und am 20. Januar in Rumänien.
Für die Zuordnung zu Turla verweist ESET auf ein gleichzeitig eingesetztes Modul, das bereits öffentlich mit der Gruppe in Verbindung gebracht worden war, sowie auf Ähnlichkeiten mit früherer Turla-Schadsoftware. Die Zuordnung ist ESETs Bewertung.
Wie Cereal Exchange-Server für zwei Aufgaben nutzte
CerealBox setzte im E-Mail-Transport von Exchange an und bereitete passende Nachrichten für eine spätere Sammlung vor. CerealNeuron übernahm eine andere Rolle: Die Komponente wartete auf eingehende Anfragen über den kompromittierten Server. So dienten die beiden Komponenten nach ESETs Analyse der Nachrichtenauswahl und dem Zugang für die Betreiber.
Filterkriterien zeigen, welche Nachrichten CerealBox auswählte – nicht, welche Inhalte tatsächlich bei den Betreibern ankamen.
Welche Nachrichten CerealBox auswählte
Eine Nachricht kam laut ESET nur infrage, wenn sie mindestens einen Anhang mit der Endung .doc, .docx oder .pdf enthielt und zusätzlich mindestens eines der eingerichteten Kriterien erfüllte: Absender, Empfänger, Betreff oder Dateiname des Anhangs. Ausschlusslisten konnten passende Nachrichten wieder ausfiltern. In der rumänischen Konfiguration standen auch institutionelle Adressen der NATO und der Europäischen Union, darunter nato.int und europa.eu.
ESET zufolge wurde CerealBox in den Prozess EdgeTransport.exe eingeschleust. Dort band die Schadsoftware bestehende Handler für Transport-Agenten im Arbeitsspeicher ein, statt einen neuen Agenten zu registrieren.
Die technische Analyse nennt außerdem zwei Betriebsgrenzen: CerealBox stellte die Nachrichtenverarbeitung 70 Tage nach dem ersten Start ein. Überschritten die zusammengefassten Werte im Speicher-Wörterbuch 5 MB, leerte die Software es und erzeugte einen neuen Dateinamen. Die 5-MB-Schwelle beschreibt dieses Wörterbuch, nicht die Menge erfolgreich kopierter E-Mails.
Wie CerealNeuron Anfragen entgegennahm
CerealNeuron wartete passiv auf gültige Anfragen an eingerichteten HTTPS-Pfaden des Exchange-Servers. ESET beobachtete diese fünf Pfadpräfixe auf Port 443: /owa/sdds/, /autodiscover/microsoft.exchange.proxyservice/, /autodiscover/integrated/api/, /autodiscover/proxyservice/ und /microsoft-server-activesync/integrated/api/. Ein Aufruf dieser Pfade allein belegt keinen Schadsoftwarebefall.
ESET beobachtete keine externe Command-and-Control-Infrastruktur. Die Betreiber nutzten demnach den kompromittierten Server als Zugangspunkt; ihre eingehenden IP-Adressen konnte ESET nicht identifizieren. In manchen Fällen fand ESET zusätzlich CerealHermit, eine Variante von CerealNeuron ohne Netzwerkfunktionen, die verschlüsselte Befehlsdateien von der Festplatte liest.
Trotz des ähnlichen Namens bewertet ESET CerealNeuron nicht als neue Version der früheren Schadsoftwarefamilie Neuron, sondern als eigene Familie mit funktionalen Ähnlichkeiten.
Was ESET über Zugang und E-Mail-Verluste berichtet
ESET konnte den anfänglichen Zugangsweg nicht ermitteln. Ein Angriff über eine Schwachstelle auf einem aus dem Internet erreichbaren Exchange-System galt in der Analyse als Möglichkeit.
ESET veröffentlichte weder konkrete Inhalte der ausgewählten Nachrichten noch eine Gesamtmenge erfolgreich exfiltrierter E-Mails.
