Wprowadzenie do problemu / definicja
Grupa Turla, od lat łączona z operacjami cyberszpiegowskimi sponsorowanymi przez państwo, została powiązana z nowym zestawem narzędzi nazwanym Cereal. Kampania koncentruje się na kompromitacji serwerów Microsoft Exchange w organizacjach rządowych oraz na przechwytywaniu wybranej korespondencji e-mail bez zakłócania normalnej pracy środowiska. To przykład nowoczesnego ataku APT, w którym serwer pocztowy staje się jednocześnie źródłem danych, punktem wykonywania poleceń i ukrytym kanałem operacyjnym.
W skrócie
Badacze udokumentowali wykorzystanie frameworka Cereal przeciwko instytucjom rządowym, między innymi w Kazachstanie i Rumunii. Zestaw składa się z wielu wyspecjalizowanych komponentów .NET, które umożliwiają wykonywanie kodu w pamięci, rozpoznanie środowiska, pobieranie wiadomości z Exchange oraz selektywne przechwytywanie e-maili według określonych kryteriów.
- CerealNeuron działa jako pasywny backdoor ukryty w ruchu przypominającym legalne usługi Exchange.
- CerealRunner uruchamia zaszyfrowane moduły .NET bezpośrednio w pamięci.
- CerealBox ingeruje w wewnętrzny pipeline transportowy Exchange i przechwytuje wiadomości bez jawnej rejestracji złośliwego agenta.
- CerealHermit może pobierać polecenia z zaszyfrowanych plików na dysku, bez użycia komunikacji sieciowej.
Kontekst / historia
Turla, znana również jako Snake, Secret Blizzard czy Waterbug, od ponad dwóch dekad prowadzi zaawansowane operacje wymierzone głównie w administrację publiczną, dyplomację i sektor obronny. W najnowszej kampanii nacisk położono na trwały i dyskretny dostęp do infrastruktury Microsoft Exchange.
Pierwsze obserwacje nowego toolsetu pochodzą z końca 2025 roku. W jednym z przypadków infekcję wykryto w organizacji rządowej w Kazachstanie, a następnie podobny zestaw narzędzi zidentyfikowano w rumuńskiej instytucji państwowej. W analizowanym środowisku operatorzy mieli filtrować korespondencję związaną z instytucjami NATO i Unii Europejskiej, co wskazuje na typowy cel wywiadowczy, a nie destrukcyjny czy finansowy.
Analiza techniczna
Cereal nie jest pojedynczym backdoorem, lecz modularnym frameworkiem złożonym z wielu współpracujących elementów. Wśród kluczowych komponentów wymieniane są między innymi CerealLoader, CerealRunner, CerealSprinter, CerealNeuron, CerealHermit, CerealIron oraz CerealBox.
CerealNeuron pełni rolę pasywnego backdoora. Zamiast inicjować połączenia wychodzące do infrastruktury atakującego, nasłuchuje na przejętym serwerze Exchange żądań HTTP(S), które wyglądają jak zwykły ruch związany z OWA, Autodiscover lub ActiveSync. Jeśli żądanie przejdzie walidację i zostanie prawidłowo odszyfrowane, malware traktuje je jako polecenie i uruchamia dostarczony kod. Takie podejście znacząco utrudnia wykrywanie na podstawie samego ruchu sieciowego.
CerealRunner działa jako nośnik poleceń. Zawiera zaszyfrowane moduły .NET i argumenty startowe wykonywane bezpośrednio w pamięci. Zaobserwowane działania obejmowały pobieranie wiadomości z Exchange, odpytywanie Active Directory, wykonywanie zapytań WMI, enumerację procesów i połączeń TCP, odczyt plików, usuwanie danych oraz ekstrakcję lokalnie przechowywanych sekretów systemowych.
Jednym z najbardziej zaawansowanych aspektów kampanii są techniki ukrywania i uruchamiania kodu .NET. Badacze opisali użycie niestandardowych punktów wejścia, mechanizmu VTable Fixups oraz nadużycie pamięci podręcznej natywnych obrazów .NET. Dzięki temu złośliwy kod może uruchamiać się przed standardowym przebiegiem CLR i jednocześnie podszywać się pod legalne biblioteki ładowane przez procesy systemowe oraz komponenty Exchange.
Najbardziej interesującym modułem pozostaje CerealBox. Zamiast rejestrować nowy transport agent w Exchange, co pozostawiłoby wyraźne artefakty administracyjne, komponent jest wstrzykiwany do procesu EdgeTransport.exe. Następnie odnajduje istniejące handlery agentów transportowych i otacza je własną logiką, przechwytując wiadomości jeszcze przed przekazaniem ich do oryginalnego mechanizmu obsługi. Pozwala to zachować normalny przepływ poczty i jednocześnie kopiować wiadomości spełniające określone kryteria, takie jak obecność załączników DOC, DOCX i PDF oraz zdefiniowane cechy nadawcy, odbiorcy, tematu lub nazwy pliku.
Dodatkowo odnotowano wariant CerealHermit, który nie używa komunikacji sieciowej i pobiera polecenia z zaszyfrowanych plików na dysku. Może to pełnić funkcję mechanizmu awaryjnego na wypadek utraty głównego kanału dostępu.
Konsekwencje / ryzyko
Atak na Microsoft Exchange w opisanej formie niesie wysokie ryzyko dla organizacji publicznych oraz wszystkich podmiotów przetwarzających wrażliwą korespondencję. Najpoważniejsze zagrożenie nie polega tu na szyfrowaniu danych czy natychmiastowym sabotażu, lecz na długotrwałym i trudnym do zauważenia wycieku informacji.
Szczególnie niebezpieczne są trzy elementy: brak klasycznej zewnętrznej infrastruktury C2, wykonywanie kodu w pamięci oraz manipulacja wewnętrznym pipeline’em Exchange. W praktyce może to prowadzić do wycieku informacji niejawnych, danych dyplomatycznych, dokumentów strategicznych, danych osobowych, mapowania sieci wewnętrznej oraz kradzieży poświadczeń wspierającej dalszą eskalację uprawnień i ruch boczny.
Rekomendacje
Organizacje korzystające z Microsoft Exchange, zwłaszcza w środowiskach on-premises, powinny potraktować ten przypadek jako sygnał do przeglądu zarówno telemetrii endpointowej, jak i integralności usług pocztowych.
W pierwszej kolejności warto przeanalizować procesy związane z Exchange, w szczególności EdgeTransport.exe, pod kątem nietypowych wstrzyknięć, ładowania nieoczekiwanych bibliotek DLL oraz anomalii w pamięci. Należy także monitorować niestandardowe ścieżki HTTP(S) podszywające się pod legalne komponenty OWA, Autodiscover i ActiveSync, nawet jeśli ruch pozornie wygląda poprawnie.
- Regularnie aktualizować serwery Exchange i systemy Windows.
- Wdrożyć EDR lub XDR z naciskiem na detekcję in-memory execution oraz DLL sideloading.
- Kontrolować integralność bibliotek .NET i analizować podejrzane wpisy w cache natywnych obrazów.
- Przeglądać aktywność związaną z Exchange Web Services, WMI i Active Directory pod kątem nietypowych wzorców użycia.
- Monitorować tworzenie, odczyt i usuwanie tymczasowych plików mogących służyć stagingowi przechwyconych wiadomości.
- Ograniczyć uprawnienia serwerów pocztowych do absolutnego minimum i stosować segmentację administracyjną.
- Przeprowadzić threat hunting pod kątem komponentów opisanych przez badaczy oraz dostępnych wskaźników kompromitacji.
W środowiskach wysokiego ryzyka zalecane jest także okresowe pozyskiwanie obrazów pamięci i ich analiza pod kątem nieautoryzowanych modułów działających wewnątrz procesów Exchange.
Podsumowanie
Kampania z użyciem Cereal pokazuje, że serwery Microsoft Exchange pozostają atrakcyjnym celem dla grup APT prowadzących cyberwywiad. Nowy zestaw narzędzi Turli wyróżnia się dojrzałą architekturą modułową, zaawansowanym wykorzystaniem mechanizmów .NET oraz nowatorskim podejściem do przechwytywania poczty bez jawnej rejestracji złośliwych agentów transportowych.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest prosty: tradycyjne monitorowanie IOC, ruchu wychodzącego i zmian konfiguracyjnych może nie wystarczyć. Skuteczna obrona wymaga głębokiej widoczności procesów Exchange, analizy pamięci oraz korelacji subtelnych sygnałów wskazujących na długotrwałą obecność przeciwnika w infrastrukturze.