Turla 黑客使用新型 Cereal 恶意软件监视政府 Exchange 服务器

俄罗斯国家支持的威胁组织 Turla 一直在使用一套名为 "Cereal" 的新型恶意工具集，拦截政府组织 Microsoft Exchange 服务器上的电子邮件。

网络安全公司 ESET 的研究人员在 2025 年末记录了这些攻击，最初在哈萨克斯坦的一个政府机构中发现了针对 Microsoft Exchange 的模块化 .NET 恶意软件。

一个月后，ESET 在罗马尼亚的一个政府机构中发现了同一套工具集，该机构用它选择性地收集与北大西洋公约组织（NATO）和欧盟（EU）代表的电子邮件往来。

"在调整我们的检测规则后，我们在罗马尼亚的一个政府组织中发现了同一套工具集——该组织于 2025 年 12 月 23 日被入侵，" 研究人员在今天的一份报告中表示。

Turla 又称 Snake、Secret Blizzard 和 Waterbug，是一个活跃了二十多年的网络间谍组织，与俄罗斯联邦安全局（FSB）有关联。

在 ESET 分析的活动，黑客使用 Cereal 工具集，特别是其中名为 CerealBox 的组件，注入 Exchange 的 EdgeTransport.exe 进程并劫持现有传输代理的处理程序。

该恶意软件在内存中执行命令，可以在不注册新的传输代理、不中断 Exchange 服务器正常邮件投递的情况下检查邮件内容。

Turla 将该恶意软件配置为选择性地收集包含 .DOC、.DOCX 和 .PDF 等文档附件的邮件，并匹配特定的发件人、收件人和主题条件。

另一个名为 CerealNeuron 的恶意组件，在类似合法 Exchange 服务的路径上等待传入的加密 Web 请求，这些请求携带要执行的命令。

CerealNeuron 检查并解密请求，然后执行所提供的 CerealRunner 程序——一个携带攻击者想要执行的代码的包装程序。

命令可能包括从 Exchange 检索邮件、查询 Active Directory 中的用户、组和 DNS 记录、提取本地存储的凭据、读取文件或删除文件的代码。

"大量几乎相同的二进制文件，每个都为特定任务编译，这强烈表明运营者拥有一个自动化编译和打包命令的内部框架，" ESET 在谈到这些作为命令载体的即用即弃程序时表示。

"结合围绕模块化、可互换组件构建的代码库，给人的印象是一个成熟、精心设计的平台——而不是一堆松散的脚本。"

CerealRunner 组件包含加密的 .NET 程序和运行它们所需的参数，它们在宿主内存中执行，然后将其输出返回给 CerealNeuron。

最终，CerealNeuron 加密输出并将其发回给攻击者。

ESET 未观察到攻击中使用外部命令与控制（C2）基础设施，使被攻陷的 Exchange 服务器本身成为唯一的控制点。

研究人员还发现了一个名为 CerealHermit 的 CerealNeuron 变体，它缺乏网络功能，而是从磁盘上的加密文件读取命令。

CerealHermit 可能作为 Neuron 的 Web 通道不可用时的回退/冗余系统。然而，ESET 未解释攻击者如何将 Hermit 的命令文件放到服务器上或检索执行结果。

研究人员指出，Cereal 的高级隐藏方法展示了 Turla 对 .NET 执行技术的深刻理解，包括滥用 .NET 原生映像缓存以在合法进程内运行。

ESET 表示，Cereal 工具集专为 "长期、隐蔽的网络间谍活动" 而设计，具有较小的磁盘占用，并依赖不太可能被检测和封锁的基础设施。

该公司已在其 GitHub 页面上分享了一份扩展的入侵指标（IoC）列表。