10 listopada 2026 r. ESET Research opisał wcześniej nieudokumentowany zestaw narzędzi .NET o nazwie Cereal, wykryty w środowiskach Microsoft Exchange dwóch organizacji rządowych: w Kazachstanie i Rumunii. ESET z wysoką pewnością przypisał go grupie Turla. Badacze podali, że Cereal łączył filtrowanie wybranych wiadomości z pasywnym odbieraniem żądań operatorów przez serwer Exchange.
W Cereal filtrowanie poczty i odbieranie żądań operatorów pełniły odrębne moduły.
Jak Cereal wykorzystywał serwer Exchange
Cereal był modułowym zestawem narzędzi .NET, którego komponenty mogły działać w pamięci i trafiać na serwer w zaszyfrowanych kontenerach. ESET opisał dwa różne zadania. CerealBox przechwytywał przepływ poczty w Exchange, a CerealNeuron oczekiwał na przychodzące żądania przypominające zwykły ruch do usług Exchange. W ten sposób serwer stawał się punktem dostępu dla operatorów.
CerealBox działał w procesie EdgeTransport.exe i w pamięci opakowywał istniejące procedury obsługi transportu, zamiast rejestrować nowego agenta transportowego. CerealNeuron nie łączył się z zewnętrzną infrastrukturą sterującą: według ESET przetwarzał prawidłowe żądania przychodzące na skonfigurowane ścieżki. Badacze nie zaobserwowali zewnętrznej infrastruktury C&C i nie ustalili adresów IP, z których operatorzy docierali do serwerów.
ESET wymienił pięć obserwowanych prefiksów HTTPS na porcie 443: /owa/sdds/, /autodiscover/microsoft.exchange.proxyservice/, /autodiscover/integrated/api/, /autodiscover/proxyservice/ oraz /microsoft-server-activesync/integrated/api/. W niektórych przypadkach obok CerealNeuron działał CerealHermit, wariant bez funkcji sieciowych, który odczytywał zaszyfrowane pliki poleceń z dysku. ESET Research opisał mechanizmy i role komponentów w technicznym opracowaniu.
Jakie wiadomości wybierał CerealBox
CerealBox wymagał załącznika z rozszerzeniem .doc, .docx lub .pdf, a także dopasowania do skonfigurowanej listy nadawców, odbiorców, fragmentów tematów albo nazw załączników. Reguły wykluczające mogły odrzucić wiadomość mimo spełnienia kryteriów. W rumuńskiej konfiguracji znalazły się adresy instytucjonalne NATO i Unii Europejskiej.
ESET podał też dwa limity działania modułu: CerealBox przestawał przetwarzać wiadomości po 70 dniach od pierwszego uruchomienia, a gdy łączna wielkość wartości w słowniku przygotowywanych wiadomości przekraczała 5 MB, opróżniał słownik i generował nową nazwę pliku. Są to szczegóły działania programu, a nie liczba wiadomości ani rozmiar danych, które zdołano wyprowadzić z serwera.
Dwa przypadki w różnych terminach
ESET wykrył Cereal na rządowym serwerze Exchange w Kazachstanie 28 listopada 2025 r. W przypadku organizacji rządowej w Rumunii badacze wskazali, że kompromitacja trwała od 23 grudnia 2025 r. Zwiększoną aktywność odnotowali następnie 15 stycznia 2026 r. w Kazachstanie i 20 stycznia w Rumunii. Daty te dotyczą obserwacji opisanych przez ESET; jego publikacja ukazała się 10 listopada 2026 r.
ESET uzasadnił przypisanie Cereal grupie Turla współwystępowaniem komponentu wcześniej publicznie łączonego z tą grupą oraz podobieństwami do starszego złośliwego oprogramowania Turla. CerealNeuron jest funkcjonalnie podobny do rodziny Neuron, ale ESET ocenił go jako odrębną rodzinę, a nie nową wersję Neuron.
Co wiadomo o dostępie i zebranych wiadomościach
ESET nie ustalił, jak napastnicy uzyskali początkowy dostęp do serwerów. Wykorzystanie podatności w dostępnym z internetu Exchange wskazał jako jedną z możliwości. Badacze opisali, jak CerealBox wybierał i przygotowywał wiadomości, ale nie podali treści konkretnych e-maili ani łącznej ilości danych skutecznie wykradzionych w tych przypadkach. Szczegóły dotyczące dostępu i działania zestawu ESET przedstawił w swoim opracowaniu technicznym.
