Op 10 november 2026 publiceerde ESET Research een analyse van Cereal, een eerder onbeschreven .NET-toolset die het aantrof in Exchange-omgevingen van twee overheidsorganisaties, in Kazachstan en Roemenië. ESET schrijft Cereal met hoge zekerheid toe aan Turla, op basis van een component die eerder met de groep in verband was gebracht en overeenkomsten met oudere Turla-malware. In de technische analyse van ESET worden twee verschillende functies beschreven: geselecteerde e-mail klaarzetten en inkomende operatorverzoeken afhandelen.
Twee gemelde overheidszaken
ESET zegt Cereal op 28 november 2025 te hebben ontdekt op een Exchange-server van een overheidsorganisatie in Kazachstan. Volgens de analyse was een Roemeense overheidsorganisatie vanaf 23 december 2025 gecompromitteerd. ESET meldde meer activiteit op 15 januari 2026 in de Kazachse zaak en op 20 januari in de Roemeense.
De toeschrijving aan Turla is de beoordeling van ESET. De onderzoekers noemen de eerder aan Turla gekoppelde component en overeenkomsten met oudere malware van de groep als onderbouwing.
Twee modules, twee rollen op Exchange
CerealBox filterde berichten in de mailtransportstroom van Exchange en zette passende e-mail klaar. ESET beschrijft dat de module in het proces EdgeTransport.exe werd geïnjecteerd en bestaande transporthandlers in het geheugen onderschepte, zonder een nieuwe transportagent te registreren.
CerealNeuron vervulde een andere rol: deze achterdeur wachtte op geldige inkomende verzoeken via ingestelde webpaden op de Exchange-server. Zo fungeerde de server als toegangspunt voor de operators. ESET trof in zijn onderzoek geen externe command-and-controlinfrastructuur aan.
ESET noemt vijf waargenomen HTTPS-paden op poort 443. Daaronder zijn /autodiscover/microsoft.exchange.proxyservice/ en /autodiscover/integrated/api/; ook /owa/sdds/, /autodiscover/proxyservice/ en /microsoft-server-activesync/integrated/api/ kwamen voor. Een verzoek naar zo’n pad is op zichzelf geen bewijs van malware.
CerealHermit is een variant van CerealNeuron zonder netwerkfuncties: die leest versleutelde opdrachtbestanden van schijf. ESET zag beide achterdeuren in sommige gevallen samen ingezet.
CerealBox filterde e-mail; CerealNeuron maakte van dezelfde Exchange-server een toegangspunt voor operatorverzoeken.
Welke e-mail CerealBox selecteerde
Volgens ESET moest een bericht minstens één bijlage met de extensie .doc, .docx of .pdf hebben én overeenkomen met een ingestelde lijst. Die lijsten konden afzenders, ontvangers, woorden in het onderwerp of bijlagenamen bevatten. Uitsluitingslijsten konden treffers vervolgens buiten selectie houden.
In de Roemeense configuratie stonden volgens ESET ook institutionele adressen van de NAVO en de Europese Unie. De technische analyse beschrijft verder dat CerealBox 70 dagen na de eerste uitvoering ophield berichten te verwerken. Als de verzamelde waarden in het voorbereidingsbestand samen groter werden dan 5 MB, leegde de malware de woordenlijst en maakte die een nieuwe bestandsnaam aan. Die technische grenzen meten niet hoeveel e-mail daadwerkelijk is buitgemaakt.
Toegang tot de servers en de buitgemaakte e-mail
ESET kon niet vaststellen hoe de aanvallers aanvankelijk toegang kregen. Een exploit voor een kwetsbaarheid in een via internet bereikbare Exchange-server noemt het bedrijf als mogelijkheid, niet als vastgestelde toegangsmethode.
ESET beschrijft hoe CerealBox berichten selecteerde en klaarzette, maar rapporteert geen concrete inhoud van buitgemaakte berichten of totaalvolume van succesvol geëxfiltreerde e-mail.
