El 10 de noviembre de 2026, ESET Research publicó su análisis de Cereal, un conjunto modular de herramientas .NET hallado en entornos Microsoft Exchange de dos organizaciones gubernamentales, una en Kazajistán y otra en Rumanía. ESET atribuyó el conjunto a Turla con alta confianza: según su análisis, CerealBox seleccionaba correo y CerealNeuron recibía solicitudes de operadores a través del servidor comprometido (investigación de ESET).
Qué encontró ESET y por qué atribuyó Cereal a Turla
ESET situó la detección en Kazajistán el 28 de noviembre de 2025 y dijo que la organización rumana estaba comprometida desde el 23 de diciembre de ese año. Después observó un aumento de actividad el 15 de enero de 2026 en el caso kazajo y el 20 de enero en el rumano.
La atribución a Turla es la valoración de ESET. El equipo citó la presencia simultánea de un componente vinculado públicamente al grupo y similitudes con malware anterior atribuido a Turla.
Dos funciones, un mismo servidor Exchange
CerealBox actuaba en el flujo de transporte del correo de Exchange. ESET informó de que el componente se inyectaba en el proceso EdgeTransport.exe y modificaba en memoria los controladores de agentes de transporte existentes, en vez de registrar un agente nuevo. El conjunto era modular: varios componentes llegaban en contenedores cifrados y se ejecutaban en memoria.
CerealNeuron cumplía otra función: esperaba solicitudes entrantes válidas en rutas web configuradas del servidor Exchange y podía ejecutar ensamblados enviados con esas solicitudes. ESET no observó infraestructura externa de mando y control y no pudo identificar las direcciones IP desde las que entraban los operadores. Entre los cinco prefijos HTTPS observados en el puerto 443 estaban /owa/sdds/, /autodiscover/microsoft.exchange.proxyservice/, /autodiscover/integrated/api/, /autodiscover/proxyservice/ y /microsoft-server-activesync/integrated/api/.
ESET también describió CerealHermit, una variante de CerealNeuron sin funciones de red que leía archivos de comandos cifrados del disco. En algunas intrusiones observó ambos componentes desplegados a la vez. Aunque CerealNeuron comparte características funcionales con la familia de malware Neuron, ESET la considera una familia distinta.
Para entender Cereal, conviene separar sus dos papeles: filtrar mensajes y recibir solicitudes eran funciones diferentes alojadas en el mismo servidor comprometido.
Qué mensajes seleccionaba CerealBox
Para que CerealBox seleccionara un mensaje, este debía incluir al menos un archivo adjunto .doc, .docx o .pdf y coincidir con alguno de los criterios configurados para remitente, destinatario, asunto o nombre del adjunto. Las listas de exclusión podían descartar mensajes que, de otro modo, coincidieran con esos filtros. ESET detalló el mecanismo en su informe técnico.
En la configuración observada en Rumanía aparecían direcciones institucionales de NATO y de la Unión Europea, incluidos los dominios nato.int y europa.eu.
El análisis técnico de ESET indica que CerealBox dejaba de procesar mensajes 70 días después de su primera ejecución. También vaciaba el diccionario donde preparaba los mensajes y generaba un nombre de archivo nuevo cuando los valores almacenados superaban los 5 MB. Ese umbral correspondía al diccionario de preparación, no a una medición del volumen de correo exfiltrado.
Acceso inicial y alcance de la recopilación
ESET no pudo determinar cómo obtuvieron los operadores el acceso inicial a las dos organizaciones. Su análisis describe los criterios de selección y la preparación de mensajes, pero no publica el contenido de correos concretos ni una cifra del volumen de correo que llegó a exfiltrarse.
