{"id":290,"date":"2026-11-10T11:10:24","date_gmt":"2026-11-10T10:10:24","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/turla-faengt-e-mails-an-nato-und-eu-ueber-exchange-server-ab\/"},"modified":"2026-11-10T11:10:58","modified_gmt":"2026-11-10T10:10:58","slug":"turla-faengt-e-mails-an-nato-und-eu-ueber-exchange-server-ab","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/turla-faengt-e-mails-an-nato-und-eu-ueber-exchange-server-ab\/","title":{"rendered":"Turla f\u00e4ngt E-Mails an NATO und EU \u00fcber Exchange-Server ab"},"content":{"rendered":"

Forscher von ESET haben ein neues Toolset entdeckt, das auf Microsoft-Exchange-Servern l\u00e4uft und ausgew\u00e4hlte E-Mails sammelt. Das Security-Unternehmen nennt das Toolset Cereal und schreibt es mit hoher Wahrscheinlichkeit der russischen APT-Gruppe Turla zu. Bei einer Regierungsorganisation in Rum\u00e4nien war die Malware auf Nachrichten von und an NATO und EU ausgerichtet.<\/strong><\/p>\n

ESET stie\u00df Ende 2025 bei zwei nationalen Regierungsorganisationen auf Cereal, eine in Kasachstan und eine in Rum\u00e4nien. Nach Angaben des Unternehmens empf\u00e4ngt das Toolset auf Exchange-Servern Befehle und f\u00fchrt diese im Arbeitsspeicher aus. Zudem kartiert das Toolset die kompromittierte Organisation und sammelt ausgew\u00e4hlte E-Mail-Nachrichten. Der Name verweist auf Serialisierung, eine Technik, mit der Daten und Code f\u00fcr den Transport verpackt werden. Laut ESET st\u00fctzen sich die Tools stark darauf.<\/p>\n

Funktionsweise des Toolsets<\/h3>\n

ESET beschreibt einen modularen Aufbau, der sich an einigen wiederkehrenden Designprinzipien orientiert. Payloads bleiben verschl\u00fcsselt, die Ausf\u00fchrung erfolgt nach M\u00f6glichkeit im Arbeitsspeicher, und Befehle werden als separate .NET-Assemblies \u00fcbermittelt. Ein Modul zum Sammeln von E-Mails wird in legitime Microsoft-Exchange-Prozesse injiziert. Auf diese Weise erh\u00e4lt das Modul Zugriff auf die E-Mail-Transport-Pipeline, die es auch manipulieren kann. Eine weitere Komponente ist eine passive Backdoor auf dem Exchange-Server, die Zugang zum internen Netzwerk verschafft.<\/p>\n

Eine externe Command-and-Control-Infrastruktur (C&C) fanden die Forscher nicht. Stattdessen fungiert der kompromittierte Exchange-Server des Opfers selbst als C&C-Server. Dadurch fehlt Infrastruktur, die Verteidiger entdecken und blockieren k\u00f6nnten. Laut ESET hinterl\u00e4sst das Toolset zudem kaum Spuren auf der Festplatte. Das Unternehmen verweist au\u00dferdem auf den Einsatz von .NET-Techniken wie nicht verwalteten Einstiegspunkten und den Missbrauch des Native-Image-Cache von .NET. ESET bezeichnet das im Vergleich zu den meisten j\u00fcngeren APT-F\u00e4llen, die es untersucht hat, als ungew\u00f6hnlich.<\/p>\n

ESET-Forscher Mat\u00edas Porolli, der das Toolset entdeckt hat, skizziert, wie das in der Praxis funktioniert. Ein Beamter schickt eine E-Mail an einen Kollegen bei einem Milit\u00e4rb\u00fcndnis, und die Nachricht l\u00e4uft ganz normal \u00fcber den Exchange-Server. Bevor die E-Mail das Geb\u00e4ude verl\u00e4sst, pr\u00fcft ein St\u00fcck Code die Nachricht und legt bei Interesse eine Kopie zur Weiterleitung beiseite. Das Original kommt derweil ganz normal an. Porolli zufolge setzen die verwendeten Techniken ein tiefgehendes Wissen \u00fcber die internen Abl\u00e4ufe von Exchange voraus.<\/p>\n

Ziele in Rum\u00e4nien und Kasachstan<\/h3>\n

In Rum\u00e4nien war die Komponente CerealBox darauf eingestellt, Nachrichten zu sammeln, die an NATO- und EU-Institutionen gerichtet waren oder von dort stammten. ESET bringt diesen Fokus mit den langj\u00e4hrigen Priorit\u00e4ten russischer Nachrichtendienste in Verbindung. M\u00f6glicherweise spielt auch der regionale Kontext eine Rolle: Rum\u00e4nien meldete seit Anfang vergangenen Jahres mehrere Vorf\u00e4lle mit russischen Drohnen, die auf oder nahe rum\u00e4nischem Staatsgebiet abst\u00fcrzten. Beim Angriff in Kasachstan verweist ESET auf Berichte, wonach das Land seit Januar 2026 russische Fl\u00fcchtlinge und Kritiker ausweist, die nach der russischen Invasion der Ukraine dorthin geflohen waren.<\/p>\n

Hintergrund zu Turla<\/h3>\n

Turla, auch bekannt als Snake, ist laut ESET seit 2004 aktiv und gilt allgemein als Teil des F\u00f6deralen Sicherheitsdienstes Russlands (FSB). Auf Basis der Telemetriedaten des Unternehmens handelt es sich bei rund 70 Prozent der L\u00e4nder, die Turla seit 2022 angegriffen hat, um ehemalige Sowjetrepubliken oder europ\u00e4ische Staaten, die eng mit der Sowjetunion verbunden waren. Die Opfer von Cereal passen laut ESET in dieses Muster. Technische Details zur Angriffskette finden Sie im Whitepaper Exchange for breakfast: Turla’s Cereal tricks are not for kids<\/a>.<\/p>\n

Den vollst\u00e4ndigen Bericht k\u00f6nnen Sie unter Exchange for breakfast: Turla’s Cereal tricks are not for kids<\/a> lesen.<\/p>\n","protected":false},"excerpt":{"rendered":"

ESET hat ein Turla-Toolset entdeckt, das auf Exchange-Servern von Beh\u00f6rden in Rum\u00e4nien und Kasachstan E-Mails sammelt. Der gehackte Server dient selbst als C&C, externe Infrastruktur fehlt.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169629,"mspb_url_nl":"https:\/\/mspbusiness.com\/algemeen\/turla-onderschept-e-mails-aan-navo-en-eu-via-exchange-servers\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/it-news\/turla-intercepts-emails-to-nato-and-the-eu-via-exchange-servers\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/11\/hero-1794305412098.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/11\/hero-1794305412098.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"ESET entdeckt Cereal, ein Toolset von Turla, das \u00fcber Exchange-Server E-Mails von Beh\u00f6rden abf\u00e4ngt, darunter Nachrichten an NATO und EU.","footnotes":""},"categories":[1],"tags":[],"layout":[6],"class_list":["post-290","post","type-post","status-publish","format-standard","hentry","category-it-nachrichten","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/290","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=290"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/290\/revisions"}],"predecessor-version":[{"id":291,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/290\/revisions\/291"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=290"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=290"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=290"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=290"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}