La posta governativa diventa il canale di comando di Turla
Turla ha usato Microsoft Exchange come canale di comando e punto di raccolta delle email in due enti governativi. ESET ha individuato il toolset Cereal in Kazakistan e Romania, a circa un mese di distanza, tra novembre e dicembre 2025.
Il server compromesso riceveva comandi e controllava la posta durante la normale elaborazione: il malware copiava i messaggi selezionati e lasciava proseguire gli originali, senza interrompere il servizio. In Romania, la configurazione puntava alla corrispondenza collegata a NATO e UE. Il metodo iniziale di accesso resta ignoto.
Poiché comandi e raccolta passano dallo stesso server Exchange, controllare solo le connessioni verso infrastrutture C2 esterne può non rivelare l’operazione. Per i sistemi governativi che gestiscono comunicazioni sensibili con NATO o UE, il normale recapito non esclude che copie selettive siano già state raccolte.
New malware doesn't call home, it turns your Exchange server into its home
A new espionage toolkit dubbed ‘Cereal’ hides inside Microsoft Exchange, intercepts email in transit, and receives commands without relying on external attacker infrastructure.
Russian hackers compromised government email servers to steal NATO, EU correspondence
Russian state-linked hackers have compromised government email servers in Romania and Kazakhstan to secretly intercept messages exchanged with NATO and European Union officials, researchers said.