Gli attaccanti hanno usato un insieme di strumenti finora non documentato, chiamato Cereal, per raccogliere email governative da server Microsoft Exchange in Kazakistan e Romania, incluse corrispondenze romene che coinvolgevano indirizzi della NATO e dell’UE. Il 10 novembre ESET Research ha reso note le scoperte, attribuendo Cereal con un alto grado di confidenza al gruppo di spionaggio legato alla Russia Turla.
ESET ha individuato due organizzazioni governative nazionali compromesse. Lo strumento opera all’interno di ambienti Exchange già compromessi, combinando la raccolta selettiva di email con l’estrazione di credenziali e la ricognizione interna. Una backdoor passiva trasforma il server Exchange esposto su internet della vittima in un punto di controllo per gli operatori; ESET non ha osservato alcuna infrastruttura esterna di comando e controllo.
I ricercatori hanno trovato Cereal per la prima volta presso un’organizzazione governativa kazaka il 28 novembre 2025. Dopo aver perfezionato i sistemi di rilevamento, lo hanno individuato in un’organizzazione governativa romena compromessa il 23 dicembre 2025. In Romania, il componente di raccolta email era configurato per prendere di mira i messaggi inviati o ricevuti da indirizzi istituzionali della NATO e dell’UE.
Exchange diventa il punto di controllo
CerealNeuron, la backdoor principale dello strumento, resta in attesa di richieste web in arrivo, invece di contattare periodicamente un server controllato dagli attaccanti. ESET lo ha osservato in ascolto su percorsi che somigliano a normali servizi Exchange:
https://*:443/owa/sdds/HTTPS://*:443/AUTODISCOVER/PROXYSERVICE/HTTPS://*:443/MICROSOFT-SERVER-ACTIVESYNC/INTEGRATED/API/
Quando una richiesta supera i controlli di integrità, CerealNeuron decifra il contenuto ed esegue il programma di comandi incluso. Le richieste che non superano la validazione vengono reindirizzate a una pagina di errore di Exchange dall’aspetto legittimo. In questo modo le comunicazioni malevole si mescolano al traffico di Outlook Web Access, Autodiscover e ActiveSync, riducendo le possibilità di individuare e bloccare un’infrastruttura separata dell’attaccante.
ESET non è riuscita a identificare gli indirizzi IP di ingresso degli operatori. I ricercatori hanno affermato che le connessioni potrebbero essere arrivate direttamente, tramite servizi di anonimizzazione o attraverso altri host compromessi.
Una seconda backdoor, CerealHermit, rinuncia alla funzionalità di rete. Legge dal disco file di comando cifrati e vi scrive i risultati, anch’essi cifrati. Entrambe le backdoor sono state installate insieme in alcune intrusioni, offrendo canali di esecuzione indipendenti. Il report di BleepingComputer descriveva Hermit come un possibile sistema di riserva nel caso in cui il canale web di Neuron diventasse non disponibile.
Piccoli programmi per i singoli comandi
CerealNeuron non dispone di un catalogo di comandi integrato. Gli operatori inviano invece i singoli compiti sotto forma di programmi .NET compilati, incapsulati in CerealRunner, che trasporta binari cifrati e i relativi argomenti di esecuzione. I payload vengono eseguiti in memoria e restituiscono l’output tramite CerealNeuron, che cifra i risultati prima di inviarli indietro.
ESET ha trovato numerosi binari CerealRunner con struttura simile in entrambe le intrusioni. I compiti includevano il recupero di caselle di posta o singoli messaggi tramite Exchange Web Services, l’interrogazione di Active Directory per computer, utenti, gruppi e record DNS, e l’esecuzione di query WMI per enumerare processi o connessioni TCP attive.
Altri comandi estraevano credenziali memorizzate localmente tramite LSA Secrets, elencavano le snapshot dei volumi e permettevano di elencare, leggere o eliminare file. Le operazioni sui file coinvolgevano spesso dump di email preparati da CerealBox. Il numero di binari quasi identici e specifici per ogni compito fa fortemente pensare a un framework interno per la compilazione e il confezionamento dei comandi, ha valutato ESET.
Diversi componenti di supporto completano questa catena di esecuzione. CerealLoader carica un assembly .NET da un file cifrato su disco. CerealSprinter somiglia a CerealRunner, ma si limita a caricare ed eseguire altri componenti. CerealIron consente di eseguire assembly .NET all’interno di processi non .NET, mentre CerealMoth carica un assembly fornito come argomento e invoca un metodo specificato.
Raccogliere la posta senza interrompere il recapito
CerealBox esegue la raccolta automatica delle email. Iniettato nel processo EdgeTransport.exe di Exchange, dirotta gli handler dei transport agent esistenti per ispezionare i messaggi senza registrare un nuovo transport agent né interrompere il normale recapito.
Gli operatori lo hanno configurato per selezionare i messaggi in base a criteri di mittente, destinatario e oggetto, inclusi quelli con allegati .DOC, .DOCX e .PDF. Ciò consente al modulo di raccolta di mettere da parte la corrispondenza selezionata, mentre i messaggi originali continuano a passare attraverso Exchange.
Lo strumento riduce al minimo i file riconoscibili su disco. CerealLoader è l’unico componente memorizzato come file .NET riconoscibile e non cifrato; gli altri arrivano in contenitori cifrati, vengono estratti a runtime ed eseguiti dalla memoria. ESET ha descritto il progetto come pensato per un cyberspionaggio di lungo periodo e occulto.
CerealLoader complica anche l’analisi. Usa la funzionalità Vtable Fixups della specifica .NET per eseguire codice nativo prima che inizino le normali istruzioni .NET, quindi passa a un metodo .NET che appare non referenziato. Un decompilatore può quindi mostrare un punto di ingresso apparentemente inattivo, mentre il payload è già stato eseguito.
In una catena di esecuzione, il loader compariva come ncobjapi.dll nella cartella C:\Windows\System32\wbem\, dove il servizio Windows Management Instrumentation lo caricava automaticamente. Un’altra catena usava wbemcomn.dll nella stessa cartella. La DLL malevola inoltra le chiamate di funzione legittime, così il processo ospite continua a funzionare.
Gli operatori hanno inoltre collocato loader malevoli nella cache delle immagini native .NET, con nomi come Microsoft.Exchange.Search.Mdb.ni.dll. Quando Exchange richiedeva la libreria corrispondente, il runtime caricava il file malevolo presente in cache ed eseguiva il suo punto di ingresso nativo, per poi ricorrere alla libreria originale per le funzionalità normali. Un campione si attivava solo quando il processo padre era il servizio di ricerca di Exchange.
Attribuzione e piste investigative
ESET ha basato l’attribuzione a Turla, con alta confidenza, sull’uso contemporaneo di un altro componente pubblicamente collegato al gruppo e su somiglianze concettuali con malware Turla più datati. Il nome di CerealNeuron richiama Neuron, una famiglia funzionalmente simile che il National Cyber Security Centre britannico ha attribuito a Turla nel 2017.
Turla, nota anche come Snake, Secret Blizzard e Waterbug, opera almeno dal 2004 ed è ampiamente ritenuta appartenere al Servizio federale di sicurezza russo (FSB). Di solito prende di mira governi, missioni diplomatiche e organizzazioni della difesa in Europa, Asia centrale e Medio Oriente. La telemetria di ESET indica che circa il 70% dei Paesi presi di mira da Turla dal 2022 erano ex repubbliche sovietiche o Paesi europei un tempo strettamente allineati con l’Unione Sovietica. ESET ha inoltre segnalato una collaborazione tra Turla e Gamaredon nel 2025.
I ricercatori hanno collocato il targeting contro la Romania nel contesto di incidenti segnalati con droni russi e di appelli a una missione NATO nel Mar Nero. Hanno ipotizzato che l’intrusione in Kazakistan potesse offrire visibilità sui dissidenti russi, in un contesto di deportazioni segnalate a partire dal gennaio 2026. Si tratta di interpretazioni contestuali di ESET; la società ha inoltre registrato un’impennata di attività in Kazakistan il 15 gennaio 2026, subito dopo la festività del Capodanno vecchio stile.
Per chi difende i server Exchange, i risultati forniscono piste investigative concrete: richieste web in ingresso, iniezione nei processi di trasporto, DLL anomale nella cartella WMI e voci malevole nella cache delle immagini native. ESET ha pubblicato un elenco completo di indicatori nel proprio repository GitHub e nel white paper su Turla, da usare nelle indagini.
