Il 10 novembre 2026 ESET Research ha reso pubblica la propria analisi di Cereal, un toolset .NET individuato in ambienti Microsoft Exchange di due organizzazioni governative, in Kazakistan e Romania. ESET attribuisce Cereal a Turla con alta confidenza; il gruppo, secondo ESET, usava il server compromesso sia per selezionare messaggi sia per ricevere richieste dagli operatori.
Due casi governativi, individuati tra il 2025 e il 2026
ESET riferisce di aver rilevato Cereal su un server Exchange governativo in Kazakistan il 28 novembre 2025. Per il caso rumeno, colloca la compromissione a partire dal 23 dicembre 2025. L’analisi registra inoltre un aumento dell’attività il 15 gennaio 2026 in Kazakistan e il 20 gennaio in Romania. ESET Research descrive i casi e le relative date nel suo rapporto tecnico.
La conclusione su Turla è una valutazione di ESET: si basa sulla presenza contemporanea di un componente già associato pubblicamente al gruppo e su somiglianze con malware usati in precedenza da Turla.
Due funzioni, un server Exchange compromesso
ESET descrive due ruoli distinti. CerealBox operava nel flusso di trasporto della posta di Exchange, dove selezionava e preparava alcuni messaggi. CerealNeuron, invece, aspettava richieste in ingresso attraverso percorsi web del server e poteva eseguire assembly inviati dagli operatori. ESET non ha osservato infrastrutture esterne di comando e controllo: il server Exchange compromesso fungeva da punto di accesso.
CerealNeuron attendeva richieste valide su prefissi HTTPS configurati, sulla porta 443. ESET ne ha osservati cinque: /owa/sdds/, /autodiscover/microsoft.exchange.proxyservice/, /autodiscover/integrated/api/, /autodiscover/proxyservice/ e /microsoft-server-activesync/integrated/api/. ESET non ha identificato gli indirizzi IP da cui arrivavano le richieste degli operatori. Il rapporto tecnico di ESET illustra l’architettura e i percorsi osservati.
In alcune intrusioni ESET ha rilevato anche CerealHermit, una variante senza funzioni di rete: leggeva da disco file di comando cifrati e vi scriveva i risultati, anch’essi cifrati.
La selezione dei messaggi e l’accesso degli operatori erano due funzioni diverse, affidate a componenti distinti dello stesso toolset.
Quali messaggi selezionava CerealBox
CerealBox richiedeva almeno un allegato con estensione .doc, .docx o .pdf e una corrispondenza con almeno un criterio configurato: mittente, destinatario, oggetto o nome dell’allegato. Le liste di esclusione potevano scartare messaggi che altrimenti avrebbero soddisfatto i criteri. Nel caso rumeno, la configurazione comprendeva indirizzi istituzionali della NATO e dell’Unione europea.
ESET riferisce che CerealBox smetteva di elaborare messaggi 70 giorni dopo la prima esecuzione. Quando i valori accumulati nel dizionario usato per preparare i messaggi superavano 5 MB, il malware svuotava il dizionario e generava un nuovo nome di file. Questi comportamenti descrivono i limiti operativi del componente, non la quantità di posta effettivamente sottratta. ESET documenta i criteri di selezione e il funzionamento di CerealBox.
Accesso iniziale e messaggi raccolti
ESET non ha determinato come gli operatori siano entrati nei sistemi. Nel rapporto, lo sfruttamento di una vulnerabilità su un server Exchange accessibile da Internet è indicato come possibilità, non come vettore accertato.
L’analisi tecnica descrive le regole con cui CerealBox selezionava e preparava i messaggi, ma ESET non ha pubblicato il contenuto delle e-mail interessate né quantificato il volume riuscito a sottrarre. I due casi riferiti riguardano organizzazioni governative in Kazakistan e Romania.
