برمجية Cereal من Turla نسخت رسائل حكومية إلى موسكو

كيف تعمل Cereal وماذا تنسخ؟

الوحدة الأهم، CerealBox، تختبئ داخل العملية التي تدير تدفق البريد في Exchange. لا تثبّت خدمة جديدة، بل ترتبط بالآليات الموجودة، وتصل الرسالة الأصلية إلى المستلم كالمعتاد. ولا تنسخ كل شيء: تختار الرسائل التي تحمل مرفقات DOC أو DOCX أو PDF، ثم تفحص المرسلين والمستلمين والعناوين وأسماء الملفات. الرسائل المطابقة تُجمع وتُشفّر وتنتظر أن يستلمها المشغّلون.

في رومانيا بحثت الإعدادات عن مراسلات مع عناوين مرتبطة بالناتو ومؤسسات الاتحاد الأوروبي. هذا لا يعني اختراق الحلف أو المفوضية الأوروبية نفسيهما، بل اختراق بريد جهة كانت تراسلهما. ولم تكشف ESET اسم الجهة الرومانية ولا محتوى الرسائل ولا حجم البيانات المسروقة.

بلا خادم تحكم خاص

عادةً تتصل البرمجيات الخبيثة بخادم يملكه المهاجمون، وقد يفضح ذلك وجودهم. هنا بقيت وحدة CerealNeuron على خادم Exchange الخاص بالضحية تنتظر طلبات ويب مُعدّة خصيصًا، تبدو من الخارج كحركة بريد عادية. كما استفاد البرنامج من ذاكرة الجهاز ليترك آثارًا أقل على القرص، وفحصت وحدات إضافية الحسابات والشبكة وبيانات الاعتماد المحفوظة. وتشير ESET إلى استخدام متقدم جدًا لتقنية .NET.

من هي Turla؟

تنشط المجموعة، المعروفة أيضًا باسم Secret Blizzard، منذ 2004 على الأقل، وتستهدف مؤسسات الدولة والبعثات الدبلوماسية وجهات الدفاع. وفي 2023 عطّل مكتب التحقيقات الفيدرالي في عملية Medusa برنامج Snake المرتبط بها. ونسبة Cereal إلى Turla تستند إلى أدوات معروفة للمجموعة وتشابهات تقنية، لا إلى تحديد هوية المشغّلين. وبحسب ESET، فإن نحو 70% من الدول التي استهدفتها المجموعة منذ 2022 جمهوريات سوفييتية سابقة أو دول أوروبية ارتبطت تاريخيًا بالاتحاد السوفييتي. ولا يُعرف كيف حصل المهاجمون على الوصول الأول.