Forscher von ESET haben ein neues Toolset entdeckt, das auf Microsoft-Exchange-Servern läuft und ausgewählte E-Mails sammelt. Das Security-Unternehmen nennt das Toolset Cereal und schreibt es mit hoher Wahrscheinlichkeit der russischen APT-Gruppe Turla zu. Bei einer Regierungsorganisation in Rumänien war die Malware auf Nachrichten von und an NATO und EU ausgerichtet.
ESET stieß Ende 2025 bei zwei nationalen Regierungsorganisationen auf Cereal, eine in Kasachstan und eine in Rumänien. Nach Angaben des Unternehmens empfängt das Toolset auf Exchange-Servern Befehle und führt diese im Arbeitsspeicher aus. Zudem kartiert das Toolset die kompromittierte Organisation und sammelt ausgewählte E-Mail-Nachrichten. Der Name verweist auf Serialisierung, eine Technik, mit der Daten und Code für den Transport verpackt werden. Laut ESET stützen sich die Tools stark darauf.
Funktionsweise des Toolsets
ESET beschreibt einen modularen Aufbau, der sich an einigen wiederkehrenden Designprinzipien orientiert. Payloads bleiben verschlüsselt, die Ausführung erfolgt nach Möglichkeit im Arbeitsspeicher, und Befehle werden als separate .NET-Assemblies übermittelt. Ein Modul zum Sammeln von E-Mails wird in legitime Microsoft-Exchange-Prozesse injiziert. Auf diese Weise erhält das Modul Zugriff auf die E-Mail-Transport-Pipeline, die es auch manipulieren kann. Eine weitere Komponente ist eine passive Backdoor auf dem Exchange-Server, die Zugang zum internen Netzwerk verschafft.
Eine externe Command-and-Control-Infrastruktur (C&C) fanden die Forscher nicht. Stattdessen fungiert der kompromittierte Exchange-Server des Opfers selbst als C&C-Server. Dadurch fehlt Infrastruktur, die Verteidiger entdecken und blockieren könnten. Laut ESET hinterlässt das Toolset zudem kaum Spuren auf der Festplatte. Das Unternehmen verweist außerdem auf den Einsatz von .NET-Techniken wie nicht verwalteten Einstiegspunkten und den Missbrauch des Native-Image-Cache von .NET. ESET bezeichnet das im Vergleich zu den meisten jüngeren APT-Fällen, die es untersucht hat, als ungewöhnlich.
ESET-Forscher Matías Porolli, der das Toolset entdeckt hat, skizziert, wie das in der Praxis funktioniert. Ein Beamter schickt eine E-Mail an einen Kollegen bei einem Militärbündnis, und die Nachricht läuft ganz normal über den Exchange-Server. Bevor die E-Mail das Gebäude verlässt, prüft ein Stück Code die Nachricht und legt bei Interesse eine Kopie zur Weiterleitung beiseite. Das Original kommt derweil ganz normal an. Porolli zufolge setzen die verwendeten Techniken ein tiefgehendes Wissen über die internen Abläufe von Exchange voraus.
Ziele in Rumänien und Kasachstan
In Rumänien war die Komponente CerealBox darauf eingestellt, Nachrichten zu sammeln, die an NATO- und EU-Institutionen gerichtet waren oder von dort stammten. ESET bringt diesen Fokus mit den langjährigen Prioritäten russischer Nachrichtendienste in Verbindung. Möglicherweise spielt auch der regionale Kontext eine Rolle: Rumänien meldete seit Anfang vergangenen Jahres mehrere Vorfälle mit russischen Drohnen, die auf oder nahe rumänischem Staatsgebiet abstürzten. Beim Angriff in Kasachstan verweist ESET auf Berichte, wonach das Land seit Januar 2026 russische Flüchtlinge und Kritiker ausweist, die nach der russischen Invasion der Ukraine dorthin geflohen waren.
Hintergrund zu Turla
Turla, auch bekannt als Snake, ist laut ESET seit 2004 aktiv und gilt allgemein als Teil des Föderalen Sicherheitsdienstes Russlands (FSB). Auf Basis der Telemetriedaten des Unternehmens handelt es sich bei rund 70 Prozent der Länder, die Turla seit 2022 angegriffen hat, um ehemalige Sowjetrepubliken oder europäische Staaten, die eng mit der Sowjetunion verbunden waren. Die Opfer von Cereal passen laut ESET in dieses Muster. Technische Details zur Angriffskette finden Sie im Whitepaper Exchange for breakfast: Turla’s Cereal tricks are not for kids.
Den vollständigen Bericht können Sie unter Exchange for breakfast: Turla’s Cereal tricks are not for kids lesen.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
