Le 10 novembre 2026, ESET Research a rendu publique son analyse de Cereal, un ensemble modulaire d’outils .NET repéré dans des environnements Microsoft Exchange de deux organisations gouvernementales, au Kazakhstan et en Roumanie. ESET attribue Cereal à Turla avec un haut niveau de confiance. Selon son analyse, le dispositif pouvait à la fois filtrer certains messages et recevoir des requêtes d’opérateurs par l’intermédiaire du serveur compromis (étude technique d’ESET.
ESET situe la détection au Kazakhstan au 28 novembre 2025. Pour le cas roumain, l’organisation était compromise à partir du 23 décembre 2025. ESET a ensuite observé une hausse de l’activité le 15 janvier 2026 au Kazakhstan, puis le 20 janvier en Roumanie.
Deux fonctions complémentaires sur un serveur Exchange
CerealBox intervenait dans le flux de transport des courriels de Microsoft Exchange. ESET indique qu’il était injecté dans le processus EdgeTransport.exe et s’appuyait en mémoire sur des gestionnaires de transport existants. Il filtrait les messages répondant à des critères configurés, puis les préparait pour une collecte ultérieure.
CerealNeuron avait un autre rôle : ce composant attendait des requêtes entrantes sur des chemins Web configurés qui ressemblent à ceux d’Exchange. Il pouvait ensuite exécuter des assemblages transmis par ces requêtes, faisant du serveur compromis un point d’accès pour les opérateurs. ESET n’a observé aucune infrastructure externe de commande et de contrôle. Son analyse recense notamment les préfixes /autodiscover/microsoft.exchange.proxyservice/ et /autodiscover/integrated/api/ parmi cinq chemins HTTPS observés sur le port 443. Ces chemins seuls ne caractérisent pas une activité malveillante.
Dans certaines intrusions, ESET a aussi observé CerealHermit, une variante de CerealNeuron dépourvue de fonctions réseau. Elle lit des fichiers de commandes chiffrés sur le disque et y écrit des résultats chiffrés.
La capacité à filtrer des courriels décrit le fonctionnement de l’outil ; elle ne donne pas, à elle seule, le volume de messages effectivement récupérés.
Quels messages CerealBox sélectionnait
Pour qu’un message soit retenu, il devait comporter au moins une pièce jointe .doc, .docx ou .pdf, et correspondre à au moins un critère configuré : expéditeur, destinataire, objet ou nom de pièce jointe. Des listes d’exclusion pouvaient écarter certains messages. Dans le cas roumain, la configuration mentionnait des adresses institutionnelles de l’OTAN et de l’Union européenne.
ESET indique que CerealBox cessait de traiter les messages 70 jours après son premier lancement. Lorsque les valeurs rassemblées dans son dictionnaire de préparation dépassaient 5 Mo, le composant vidait ce dictionnaire et créait un nouveau nom de fichier. Ces paramètres décrivent son fonctionnement, pas une quantité de courriels exfiltrés.
Ce qu’ESET a établi sur l’accès et les courriels
ESET n’a pas déterminé comment les opérateurs avaient obtenu l’accès initial. L’exploitation d’une vulnérabilité sur un serveur Exchange accessible depuis Internet est évoquée comme une possibilité, pas comme le vecteur identifié dans ces cas.
ESET ne publie ni le contenu des messages ciblés ni le volume total de courriels effectivement exfiltrés. Son analyse porte sur deux organisations gouvernementales, l’une au Kazakhstan et l’autre en Roumanie.
