Turla-Malware Cereal kopierte Regierungsmails nach Moskau

Was ist die Cereal-Malware?

ESET nennt das Toolkit Cereal. Sein wichtigster Teil, CerealBox, versteckt sich im Prozess, der auf Exchange den Mailfluss steuert. Es installiert keinen sichtbaren neuen Dienst, sondern klinkt sich in bestehende Exchange-Mechanismen ein. Die Originalmail erreicht deshalb weiter ihren Empfänger.

Zudem ist die Software wählerisch. CerealBox beachtet nur Mails mit Anhängen im Format DOC, DOCX oder PDF und prüft Absender, Empfänger, Betreff und Dateinamen. Nur passende Nachrichten werden verpackt, verschlüsselt und zur Abholung bereitgestellt.

In Rumänien, wo das Toolkit am 23. Dezember 2025 eingesetzt wurde, suchte es nach Korrespondenz mit Adressen von NATO und EU-Institutionen. Das heißt nicht, dass NATO oder EU-Kommission selbst gehackt wurden. Betroffen war eine Organisation, die mit ihnen schrieb. Den Namen der rumänischen Behörde, den Inhalt der Mails und die Menge der abgeflossenen Daten nennt ESET nicht.

Kein eigener Server nötig

Meist meldet sich Spionagesoftware bei Servern der Angreifer, was sie verraten kann. Hier wartete das Modul CerealNeuron auf dem infizierten Exchange-Server auf präparierte Webanfragen, die wie normaler Mailverkehr aussahen. Befehle liefen also über die Infrastruktur des Opfers. Der Code arbeitete zudem großteils im Arbeitsspeicher und hinterließ weniger Spuren auf der Festplatte. ESET hebt den fortgeschrittenen Einsatz von .NET hervor, der tiefes Wissen über Exchange erfordert.

Die Zuordnung stützt sich auf bekannte Turla-Werkzeuge und technische Ähnlichkeiten, nicht auf die Identität einzelner Täter. Turla ist mindestens seit 2004 aktiv. 2023 legte das FBI mit der Operation Medusa die Spionagesoftware Snake lahm. Laut ESET waren seit 2022 rund 70 Prozent der angegriffenen Staaten frühere Sowjetrepubliken oder europäische Länder mit historischer Nähe zur UdSSR. Wie die Angreifer zuerst eindrangen, ist unbekannt.