A ESET Research informou que encontrou o conjunto de ferramentas Cereal em ambientes Microsoft Exchange de dois órgãos governamentais, um no Cazaquistão e outro na Romênia. A equipe atribuiu o malware a Turla com alta confiança. Segundo a análise técnica da ESET, CerealBox filtrava mensagens selecionadas e CerealNeuron recebia solicitações por meio do servidor comprometido. A investigação foi divulgada em 10 de novembro de 2026; os casos relatados começaram antes disso.
ESET identificou Cereal no servidor governamental do Cazaquistão em 28 de novembro de 2025. No caso romeno, a organização estava comprometida desde 23 de dezembro daquele ano. A equipe observou aumento de atividade em 15 de janeiro de 2026 no Cazaquistão e em 20 de janeiro na Romênia.
Como Cereal usava o Exchange
Os dois módulos tinham funções diferentes. CerealBox atuava no fluxo de transporte de e-mails do Exchange: era injetado no processo EdgeTransport.exe e interceptava, em memória, manipuladores já existentes, sem registrar um novo agente de transporte.
CerealNeuron, por sua vez, aguardava solicitações recebidas por caminhos HTTPS configurados para se parecerem com rotas do Exchange e executava os conjuntos de instruções enviados. A ESET não observou uma infraestrutura externa de comando e controle: o próprio servidor comprometido servia como ponto de acesso para os operadores.
A equipe também descreveu o CerealHermit, uma variante do CerealNeuron sem funções de rede, que lê arquivos de comando criptografados no disco. Em algumas intrusões, a ESET observou os dois módulos implantados juntos.
Os 70 dias de processamento e o limite de 5 MB descrevem o funcionamento do CerealBox; não são uma contagem de mensagens obtidas.
Quais mensagens o CerealBox selecionava
Para entrar na seleção do CerealBox, um e-mail precisava ter pelo menos um anexo .doc, .docx ou .pdf e corresponder a algum critério configurado: remetente, destinatário, trecho do assunto ou nome do anexo. Listas de exclusão também podiam eliminar mensagens que correspondessem aos critérios.
Na configuração encontrada na Romênia, havia endereços institucionais da NATO e da União Europeia. Isso descreve os alvos definidos naquela configuração, não o conteúdo de mensagens específicas.
A ESET relata que o CerealBox parava de processar mensagens 70 dias após a primeira execução. Se os valores reunidos no dicionário de preparação ultrapassassem 5 MB, o módulo esvaziava esse dicionário e criava um novo nome de arquivo.
Acesso inicial e mensagens coletadas
A ESET não conseguiu determinar como os operadores obtiveram o acesso inicial aos servidores. Como os sistemas eram acessíveis pela internet, a exploração de uma vulnerabilidade do Exchange foi considerada possível, mas não estabelecida como método de entrada.
A análise descreve como o CerealBox selecionava e preparava mensagens, mas não informa o conteúdo de e-mails específicos nem quantifica o volume efetivamente retirado.
