Los atacantes usaron un conjunto de herramientas no documentado previamente, llamado Cereal, para recopilar correo gubernamental de servidores Microsoft Exchange en Kazajistán y Rumanía, incluida correspondencia rumana que involucraba direcciones de la OTAN y de la UE. Investigación de ESET dio a conocer los hallazgos el 10 de noviembre y atribuyó Cereal al grupo de espionaje Turla, vinculado a Rusia, con alta confianza.
ESET identificó dos organismos gubernamentales nacionales comprometidos. El conjunto de herramientas funciona dentro de entornos Exchange ya comprometidos, combinando la recopilación selectiva de correos con la extracción de credenciales y el reconocimiento interno. Una puerta trasera pasiva convierte el servidor Exchange expuesto a internet de la víctima en el punto de control de los operadores; ESET no observó infraestructura externa de comando y control.
Los investigadores encontraron Cereal por primera vez en un organismo gubernamental kazajo el 28 de noviembre de 2025. Tras perfeccionar sus detecciones, lo identificaron en un organismo gubernamental rumano comprometido el 23 de diciembre de 2025. En Rumanía, el componente de recopilación de correo estaba configurado para apuntar a los mensajes enviados o recibidos de direcciones institucionales de la OTAN y de la UE.
Exchange se convierte en el punto de control
CerealNeuron, la puerta trasera principal del conjunto, espera solicitudes web entrantes en lugar de contactar periódicamente con un servidor controlado por el atacante. ESET lo observó escuchando en rutas que se parecen a servicios habituales de Exchange:
https://*:443/owa/sdds/HTTPS://*:443/AUTODISCOVER/PROXYSERVICE/HTTPS://*:443/MICROSOFT-SERVER-ACTIVESYNC/INTEGRATED/API/
Cuando una solicitud supera las comprobaciones de integridad, CerealNeuron descifra su contenido y ejecuta el programa de comandos incluido. Las solicitudes que no superan la validación se redirigen a una página de error de Exchange de apariencia legítima. Así, las comunicaciones maliciosas se mezclan con el tráfico de Outlook Web Access, Autodiscover y ActiveSync, lo que dificulta identificar y bloquear una infraestructura atacante independiente.
ESET no pudo identificar las direcciones IP de entrada de los operadores. Los investigadores señalaron que las conexiones podrían haber llegado directamente, a través de servicios de anonimización o desde otros equipos comprometidos.
Una segunda puerta trasera, CerealHermit, elimina la funcionalidad de red. Lee archivos de comandos cifrados desde el disco y escribe de vuelta los resultados cifrados. En algunas intrusiones, ambas puertas traseras se desplegaron juntas, lo que proporcionaba canales de ejecución independientes. El informe de BleepingComputer describió Hermit como una posible alternativa de respaldo en caso de que el canal web de Neuron dejara de estar disponible.
Pequeños programas ejecutan comandos individuales
CerealNeuron no tiene un catálogo de comandos integrado. Los operadores entregan en su lugar tareas individuales como programas .NET compilados, envueltos en CerealRunner, que transporta binarios cifrados y sus argumentos de ejecución. Las cargas útiles se ejecutan en memoria y devuelven su salida a través de CerealNeuron, que cifra los resultados antes de enviarlos.
ESET encontró numerosos binarios de CerealRunner con una estructura similar en las dos intrusiones. Sus tareas incluían recuperar buzones o mensajes individuales mediante Exchange Web Services; consultar Active Directory en busca de equipos, usuarios, grupos y registros DNS; y ejecutar consultas WMI para enumerar procesos o conexiones TCP activas.
Otros comandos extraían credenciales almacenadas localmente mediante LSA Secrets, listaban instantáneas de volúmenes y listaban, leían o eliminaban archivos. Las operaciones con archivos a menudo implicaban volcados de correo preparados por CerealBox. El gran volumen de binarios casi idénticos y específicos de cada tarea sugiere con fuerza, según evaluó ESET, un marco interno para compilar y empaquetar comandos.
Varios componentes de apoyo conectan esta cadena de ejecución. CerealLoader carga un ensamblado .NET desde un archivo cifrado en disco. CerealSprinter se parece a CerealRunner, pero solo carga y ejecuta otros componentes. CerealIron permite que los ensamblados .NET se ejecuten dentro de procesos que no son .NET, mientras que CerealMoth carga un ensamblado recibido como argumento e invoca un método específico.
Recopilar correo sin interrumpir la entrega
CerealBox se encarga de la recopilación automatizada de correo. Inyectado en el proceso EdgeTransport.exe de Exchange, secuestra los manejadores de agentes de transporte ya existentes para inspeccionar los mensajes sin registrar un nuevo agente de transporte ni alterar la entrega normal.
Los operadores lo configuraron para seleccionar mensajes según criterios de remitente, destinatario y asunto, incluidos los mensajes con adjuntos .DOC, .DOCX y .PDF. Así, el módulo de recopilación aparta la correspondencia seleccionada mientras los mensajes originales siguen su camino por Exchange.
El resto del conjunto minimiza los archivos reconocibles en disco. CerealLoader es el único componente almacenado como archivo .NET reconocible y sin cifrar; los demás llegan en contenedores cifrados, se desempaquetan en tiempo de ejecución y se ejecutan desde memoria. ESET describió el diseño como orientado al ciberespionaje a largo plazo y encubierto.
CerealLoader también complica el análisis. Utiliza la función Vtable Fixups de la especificación .NET para ejecutar código nativo antes de que comiencen las instrucciones .NET habituales, y después pasa a un método .NET que aparenta no tener referencias. Por eso, un descompilador puede mostrar un punto de entrada aparentemente inactivo cuando la carga útil ya se ha ejecutado.
En una cadena de ejecución, el cargador aparecía como ncobjapi.dll bajo C:\Windows\System32\wbem\, donde el servicio de Instrumental de administración de Windows lo cargaba automáticamente. Otra cadena usaba wbemcomn.dll en el mismo directorio. La DLL maliciosa reenvía las llamadas a funciones legítimas para que el proceso host siga funcionando.
Los operadores también colocaron cargadores maliciosos en la caché de imágenes nativas de .NET, con nombres como Microsoft.Exchange.Search.Mdb.ni.dll. Cuando Exchange solicitaba la biblioteca correspondiente, el entorno de ejecución cargaba el archivo malicioso de la caché y ejecutaba su punto de entrada nativo antes de recurrir a la biblioteca auténtica para la funcionalidad normal. Una muestra solo se activaba cuando su proceso padre era el servicio de búsqueda de Exchange.
Atribución y pistas de investigación
ESET basó su atribución a Turla, con alta confianza, en el uso simultáneo de otro componente públicamente vinculado al grupo y en similitudes conceptuales con malware anterior de Turla. El nombre de CerealNeuron hace referencia a Neuron, una familia funcionalmente similar que el Centro Nacional de Ciberseguridad del Reino Unido atribuyó a Turla en 2017.
Turla, también conocido como Snake, Secret Blizzard y Waterbug, opera desde 2004 como mínimo y se considera ampliamente que pertenece al Servicio Federal de Seguridad de Rusia. Suele atacar a gobiernos, misiones diplomáticas y organizaciones de defensa en Europa, Asia Central y Oriente Medio. La telemetría de ESET indica que alrededor del 70 % de los países atacados por Turla desde 2022 eran antiguas repúblicas soviéticas o países europeos que habían estado muy alineados con la Unión Soviética. ESET también informó de una colaboración entre Turla y Gamaredon en 2025.
Los investigadores situaron los ataques contra Rumanía en el contexto de incidentes informados con drones rusos y de llamamientos a una misión de la OTAN en el mar Negro. Sugirieron que la intrusión en Kazajistán podría dar visibilidad sobre disidentes rusos en medio de las deportaciones informadas que comenzaron en enero de 2026. Se trata de interpretaciones contextuales de ESET. La empresa también registró un aumento de actividad en Kazajistán el 15 de enero de 2026, justo después de la festividad del Viejo Año Nuevo.
Para los defensores de Exchange, los hallazgos ofrecen pistas de investigación concretas en las solicitudes web entrantes, la inyección en procesos de transporte, las DLL inusuales en el directorio de WMI y las entradas maliciosas en la caché de imágenes nativas. ESET ha publicado una lista exhaustiva de indicadores en su repositorio de GitHub y en el documento técnico sobre Turla, para su uso en investigaciones.
