O grupo de ameaça patrocinado pelo Estado e alinhado à Rússia, conhecido como Turla (também chamado de Snake), está usando um conjunto de ferramentas de espionagem cibernética até então não documentado, chamado Cereal. A ferramenta é usada para invadir servidores Microsoft Exchange das vítimas com o objetivo de coletar e-mails de forma sigilosa.
De acordo com um relatório da ESET compartilhado com o The Hacker News antes da publicação, a ferramenta sofisticada e modular foi projetada para coleta de inteligência de longo prazo e foi observada contra duas entidades governamentais no Cazaquistão e na Romênia no fim de 2025.
“O conjunto de ferramentas Cereal é um instrumento cuidadosamente construído para espionagem cibernética furtiva e de longo prazo”, afirmou a empresa eslovaca de cibersegurança ESET. “Ele deixa pouco rastro no disco, evita infraestrutura externa que poderia ser descoberta e bloqueada, e se esconde dentro de processos legítimos do Exchange.”
“O conjunto de ferramentas Cereal demonstra que, para a Turla, os servidores Exchange não são apenas servidores de e-mail. Eles são pontos de coleta duráveis, centros de execução interna e um ambiente adequado para ocultar táticas sofisticadas baseadas em .NET.”
O conjunto de ferramentas é formado por componentes interconectados, capazes de rodar em servidores Microsoft Exchange, receber comandos, executá-los na memória, mapear a rede infectada e coletar e-mails de interesse. O vetor de acesso inicial usado para entregar o malware é desconhecido, embora o grupo seja conhecido por realizar ataques de spear-phishing (phishing direcionado), watering hole (ataques a sites frequentados pelo alvo) e adversário no meio no nível do provedor de internet (AitM, na sigla em inglês).
O nome Cereal vem do fato de que as ferramentas fazem uso extensivo de serialização, processo que consiste em converter a estrutura de dados ou o estado de um objeto em um formato que pode ser facilmente armazenado, transmitido e reconstruído.
Vários aspectos fazem o malware se destacar:
- Ausência de infraestrutura externa de comando e controle (C2), que é substituída pela exploração de um servidor Exchange comprometido para esse fim.
- Envio de comandos na forma de programas .NET compilados e separados.
- Uso de um módulo automatizado de coleta de e-mails, injetado em processos legítimos do Microsoft Exchange e projetado para manipular o fluxo de transporte de e-mails.
A combinação dessas técnicas mostra que o agente de ameaça tem profundo conhecimento do funcionamento interno do Microsoft Exchange, afirmou a ESET. O framework Cereal é composto por oito partes que trabalham juntas para dar aos atacantes acesso a dados sensíveis de e-mail:
- CerealRunner, implantado pelo operador e usado como caminho para instalar outros componentes, incluindo CerealLoader, CerealSprinter, CerealIron e CerealMoth.
- CerealLoader, que carrega e executa um assembly .NET a partir de um arquivo criptografado no disco, levando à execução do CerealSprinter.
- CerealSprinter, que funciona de forma semelhante ao CerealRunner e é usado para descriptografar e executar o CerealNeuron, o CerealHermit e o CerealBox.
- CerealIron, um injetor que permite carregar e executar assemblies .NET a partir de processos que não são .NET.
- CerealMoth, que recebe um assembly e o nome de um método como entradas, carrega o assembly e executa o método especificado.
- CerealNeuron, uma backdoor passiva que roda em um servidor Exchange comprometido e fica à escuta de requisições web em caminhos que parecem tráfego comum do Exchange, para executar assemblies contidos em binários do CerealRunner.
- CerealHermit, uma variante do CerealNeuron que lê comandos de arquivos criptografados no disco e não possui funcionalidade de rede própria.
- CerealBox, módulo de coleta de e-mails que processa, filtra e reúne mensagens ao se injetar no serviço de transporte do Exchange ("EdgeTransport.exe").
Ao ganhar visibilidade sobre o fluxo de e-mails, o malware procura mensagens com anexos nos formatos DOC, DOCX (documentos do Word) ou PDF (formato portátil de documento) e que correspondam a pelo menos uma de várias listas predefinidas de endereços de remetentes, endereços de destinatários, assuntos ou nomes de anexos.
Os e-mails que atendem aos critérios de filtragem são compactados, criptografados e armazenados em arquivos no disco. Depois disso, são exfiltrados e apagados por meio de comandos do CerealNeuron.
No ataque contra a organização governamental romena, o CerealBox teria sido configurado para coletar e-mails envolvendo endereços institucionais da OTAN (Organização do Tratado do Atlântico Norte) e da União Europeia, padrão que se alinha às prioridades estratégicas da Rússia.
Os comandos entregues como programas .NET compilados são tratados pelo CerealRunner, que descompacta e executa as cargas na memória e, em seguida, envia os resultados de volta ao CerealNeuron para posterior exfiltração ao agente de ameaça, em formato criptografado.
Os comandos permitem recuperar caixas de correio ou mensagens específicas; consultar o Active Directory em busca de computadores, usuários, grupos e registros de DNS (sistema de nomes de domínio); executar consultas de Instrumentação de Gerenciamento do Windows (WMI); extrair segredos do LSA (Autoridade de Segurança Local); listar instantâneos de volume; e realizar operações com arquivos.
“O grande volume de binários quase idênticos, cada um compilado para uma tarefa específica, indica fortemente que os operadores têm um framework interno que automatiza a compilação e o empacotamento de comandos”, disse o pesquisador da ESET Matías Porolli.
“Somado a uma base de código construída em torno de componentes modulares e intercambiáveis, a impressão é de uma plataforma madura e bem elaborada, e não de um conjunto solto de scripts.”
