La posta governativa diventa il canale di comando di Turla
Turla ha usato Microsoft Exchange come canale di comando e punto di raccolta delle email in due enti governativi. ESET ha individuato il toolset Cereal in Kazakistan e Romania, a circa un mese di distanza, tra novembre e dicembre 2025.
Il server compromesso riceveva comandi e controllava la posta durante la normale elaborazione: il malware copiava i messaggi selezionati e lasciava proseguire gli originali, senza interrompere il servizio. In Romania, la configurazione puntava alla corrispondenza collegata a NATO e UE. Il metodo iniziale di accesso resta ignoto.
Poiché comandi e raccolta passano dallo stesso server Exchange, controllare solo le connessioni verso infrastrutture C2 esterne può non rivelare l’operazione. Per i sistemi governativi che gestiscono comunicazioni sensibili con NATO o UE, il normale recapito non esclude che copie selettive siano già state raccolte.
A new espionage toolkit dubbed ‘Cereal’ hides inside Microsoft Exchange, intercepts email in transit, and receives commands without relying on external attacker infrastructure.
Russian state-linked hackers have compromised government email servers in Romania and Kazakhstan to secretly intercept messages exchanged with NATO and European Union officials, researchers said.
The Russian state-backed threat group Turla has been using a new malicious toolset called 'Cereal' to intercept emails on Microsoft Exchange servers at government organizations.
Nicknamed “Turla’s Cereal,” the tools target Microsoft Exchange servers and lack many obvious indicators of compromise or malicious telemetry, per a new ESET report.
ESET Research describes Turla’s Cereal toolset, featuring a novel Exchange email collection module, a unique C&C mechanism, and sophisticated .NET execution tricks.