Angreifer nutzten ein bislang nicht dokumentiertes Werkzeugset namens Cereal, um Regierungs-E-Mails von Microsoft-Exchange-Servern in Kasachstan und Rumänien zu sammeln, darunter rumänische Korrespondenz mit NATO- und EU-Adressen. ESET Research veröffentlichte die Ergebnisse am 10. November und ordnete Cereal mit hoher Zuversicht der russlandnahen Spionagegruppe Turla zu.
ESET identifizierte zwei kompromittierte staatliche Stellen. Das Werkzeugset arbeitet innerhalb bereits kompromittierter Exchange-Umgebungen und kombiniert die gezielte Sammlung von E-Mails mit dem Auslesen von Zugangsdaten und interner Aufklärung. Eine passive Backdoor macht den aus dem Internet erreichbaren Exchange-Server des Opfers zum Kontrollpunkt der Angreifer. ESET beobachtete keine externe Command-and-Control-Infrastruktur.
Die Forscher stießen am 28. November 2025 erstmals bei einer kasachischen Regierungsorganisation auf Cereal. Nachdem sie ihre Erkennung verfeinert hatten, identifizierten sie das Werkzeugset bei einer rumänischen Regierungsorganisation, die am 23. Dezember 2025 kompromittiert wurde. In Rumänien war die Komponente zur E-Mail-Sammlung so konfiguriert, dass sie Nachrichten erfasste, die an institutionelle Adressen der NATO und der EU gesendet oder von dort empfangen wurden.
Exchange wird zum Kontrollpunkt
CerealNeuron, die Haupt-Backdoor des Werkzeugsets, wartet auf eingehende Webanfragen, statt regelmäßig einen vom Angreifer kontrollierten Server zu kontaktieren. ESET beobachtete, dass sie auf Pfaden lauscht, die gewöhnlichen Exchange-Diensten ähneln:
https://*:443/owa/sdds/HTTPS://*:443/AUTODISCOVER/PROXYSERVICE/HTTPS://*:443/MICROSOFT-SERVER-ACTIVESYNC/INTEGRATED/API/
Besteht eine Anfrage die Integritätsprüfungen, entschlüsselt CerealNeuron deren Inhalt und führt das enthaltene Befehlsprogramm aus. Anfragen, die die Validierung nicht bestehen, werden auf eine legitim wirkende Exchange-Fehlerseite umgeleitet. Dadurch verlaufen die schädlichen Kommunikationen zusammen mit dem Datenverkehr von Outlook Web Access, Autodiscover und ActiveSync. Das erschwert es, separate Infrastruktur der Angreifer zu erkennen und zu blockieren.
ESET konnte die Eingangs-IP-Adressen der Angreifer nicht ermitteln. Die Forscher sagten, die Verbindungen könnten direkt, über Anonymisierungsdienste oder über andere kompromittierte Hosts eingegangen sein.
Eine zweite Backdoor, CerealHermit, verzichtet auf die Netzwerkfunktion. Sie liest verschlüsselte Befehlsdateien von der Festplatte und schreibt verschlüsselte Ergebnisse zurück. Beide Backdoors wurden bei einigen Angriffen gemeinsam eingesetzt und boten so unabhängige Ausführungskanäle. BleepingComputers Bericht beschrieb Hermit als mögliche Ausweichoption, falls der Webkanal von Neuron nicht mehr verfügbar sei.
Kleine Programme liefern einzelne Befehle aus
CerealNeuron besitzt keinen eingebauten Befehlskatalog. Stattdessen liefern die Angreifer einzelne Aufgaben als kompilierte .NET-Programme, die in CerealRunner verpackt sind. Dieser enthält verschlüsselte Binärdateien und deren Ausführungsargumente. Die Nutzlasten laufen im Speicher und geben ihre Ausgabe über CerealNeuron zurück, das die Ergebnisse verschlüsselt, bevor sie gesendet werden.
ESET fand in beiden Angriffen zahlreiche ähnlich aufgebaute CerealRunner-Binärdateien. Ihre Aufgaben umfassten das Abrufen von Postfächern oder einzelnen Nachrichten über Exchange Web Services, das Abfragen von Active Directory nach Computern, Benutzern, Gruppen und DNS-Einträgen sowie das Ausführen von WMI-Abfragen, um Prozesse oder aktive TCP-Verbindungen aufzulisten.
Weitere Befehle extrahierten lokal gespeicherte Zugangsdaten über LSA Secrets, listeten Volume-Snapshots auf und listeten, lasen oder löschten Dateien. Dateioperationen betrafen häufig E-Mail-Dumps, die CerealBox bereitgestellt hatte. Die Menge nahezu identischer, aufgabenspezifischer Binärdateien spricht laut ESET stark für ein internes Framework zum Kompilieren und Verpacken von Befehlen.
Mehrere unterstützende Komponenten verbinden diese Ausführungskette. CerealLoader lädt eine .NET-Assembly aus einer verschlüsselten Datei auf dem Datenträger. CerealSprinter ähnelt CerealRunner, lädt und startet aber nur andere Komponenten. CerealIron ermöglicht es, .NET-Assemblys in Nicht-.NET-Prozessen auszuführen, während CerealMoth eine als Argument übergebene Assembly lädt und eine angegebene Methode aufruft.
E-Mails sammeln, ohne die Zustellung zu unterbrechen
CerealBox übernimmt die automatisierte E-Mail-Sammlung. Es wird in den Exchange-Prozess EdgeTransport.exe injiziert und kapert bestehende Transport-Agent-Handler, um Nachrichten zu prüfen. Dabei registriert es keinen neuen Transport-Agent und stört die normale Zustellung nicht.
Die Angreifer konfigurierten es so, dass Nachrichten anhand von Absender-, Empfänger- und Betreffkriterien ausgewählt werden, unter anderem Nachrichten mit .DOC-, .DOCX- und .PDF-Anhängen. So kann das Sammelmodul ausgewählte Korrespondenz abzweigen, während die Originalnachrichten weiter über Exchange laufen.
Das umgebende Werkzeugset hinterlässt nur wenige erkennbare Dateien auf dem Datenträger. CerealLoader ist die einzige Komponente, die als erkennbare, unverschlüsselte .NET-Datei gespeichert ist. Die übrigen kommen in verschlüsselten Containern an, werden zur Laufzeit entpackt und laufen aus dem Speicher. ESET beschrieb das Design als auf langfristige, verdeckte Cyberspionage ausgelegt.
CerealLoader erschwert zudem die Analyse. Er nutzt die Funktion Vtable Fixups der .NET-Spezifikation, um nativen Code auszuführen, bevor gewöhnliche .NET-Anweisungen beginnen. Danach springt er in eine .NET-Methode, die unreferenziert erscheint. Ein Decompiler kann daher einen scheinbar inaktiven Einstiegspunkt zeigen, obwohl die Nutzlast bereits ausgeführt wurde.
In einer Ausführungskette erschien der Loader als ncobjapi.dll unter C:\Windows\System32\wbem\, wo der Dienst Windows Management Instrumentation ihn automatisch lud. Eine andere Kette verwendete wbemcomn.dll im selben Verzeichnis. Die bösartige DLL leitet legitime Funktionsaufrufe weiter, sodass der Hostprozess weiterarbeiten kann.
Die Angreifer legten außerdem bösartige Loader im Cache für native Images von .NET unter Namen wie Microsoft.Exchange.Search.Mdb.ni.dll ab. Wenn Exchange die entsprechende Bibliothek anforderte, lud die Laufzeit die manipulierte gecachte Datei und führte deren nativen Einstiegspunkt aus. Danach griff sie für die normale Funktion auf die echte Bibliothek zurück. Ein Sample aktivierte sich nur, wenn sein übergeordneter Prozess der Suchdienst von Exchange war.
Zuordnung und Ermittlungsansätze
ESET stützte die Zuordnung zu Turla mit hoher Zuversicht auf den gleichzeitigen Einsatz einer anderen Komponente, die öffentlich mit der Gruppe in Verbindung gebracht wird, sowie auf konzeptionelle Ähnlichkeiten mit älterer Turla-Malware. Der Name CerealNeuron verweist auf Neuron, eine funktional ähnliche Familie, die das britische National Cyber Security Centre 2017 Turla zuordnete.
Turla, auch als Snake, Secret Blizzard und Waterbug bekannt, ist seit mindestens 2004 aktiv und wird weithin dem russischen Föderalen Sicherheitsdienst (FSB) zugerechnet. Die Gruppe nimmt häufig Regierungen, diplomatische Vertretungen und Verteidigungsorganisationen in Europa, Zentralasien und dem Nahen Osten ins Visier. ESET-Telemetrie deutet darauf hin, dass rund 70 % der seit 2022 von Turla angegriffenen Länder ehemalige Sowjetrepubliken oder europäische Länder waren, die früher eng mit der Sowjetunion verbunden waren. ESET berichtete außerdem 2025 von einer Zusammenarbeit zwischen Turla und Gamaredon.
Die Forscher setzten das Ziel in Rumänien in einen Zusammenhang mit gemeldeten russischen Drohnenzwischenfällen und Forderungen nach einer NATO-Mission im Schwarzen Meer. Sie hielten es für möglich, dass der Einbruch in Kasachstan Einblick in russische Dissidenten verschaffen könnte, vor dem Hintergrund gemeldeter Abschiebungen, die im Januar 2026 begannen. Dabei handelt es sich um kontextuelle Deutungen von ESET. Zudem verzeichnete ESET am 15. Januar 2026, unmittelbar nach dem Altneujahrsfest, einen Anstieg der kasachischen Aktivität.
Für Verantwortliche für Exchange liefern die Ergebnisse konkrete Ermittlungsansätze: eingehende Webanfragen, Injection in den Transportprozess, ungewöhnliche DLLs im WMI-Verzeichnis und bösartige Einträge im Cache für native Images. ESET hat in seinem GitHub-Repository und im Turla-Whitepaper eine umfassende Liste von Indikatoren veröffentlicht, die bei Untersuchungen genutzt werden kann.
