Turla y el malware Cereal copiaban correos a Moscú

¿Qué es el malware Cereal?

ESET bautizó el conjunto de herramientas como Cereal. Su pieza principal, CerealBox, se oculta en el proceso que gestiona el flujo de mensajes en Exchange. No instala un servicio nuevo y visible, sino que se engancha a mecanismos existentes. Por eso el mensaje original sigue llegando a su destinatario.

Además es selectivo. CerealBox solo mira correos con adjuntos DOC, DOCX o PDF y revisa remitentes, destinatarios, asuntos y nombres de archivo. Solo los mensajes que cumplen los criterios se empaquetan, se cifran y quedan listos para que los operadores los recojan.

En Rumanía, donde el mismo conjunto se usó el 23 de diciembre de 2025, la configuración buscaba correspondencia con direcciones vinculadas a la OTAN y a instituciones de la UE. Eso no significa que hayan hackeado a la OTAN ni a la Comisión Europea: la víctima fue una organización que se comunicaba con ellas. ESET no ha revelado el nombre del organismo rumano, el contenido de los correos ni cuántos datos se robaron.

Sin servidor propio

Lo habitual es que el malware contacte con servidores de los atacantes, lo que puede delatarlo. Aquí, el módulo CerealNeuron permanecía en el servidor Exchange infectado y esperaba peticiones web preparadas que parecían tráfico de correo corriente. Las órdenes llegaban por la infraestructura de la propia víctima. El código se ejecutaba en gran parte en memoria, con menos rastros en disco, y ESET destaca un uso avanzado de .NET que exige conocer a fondo Exchange.

La atribución se apoya en herramientas anteriores de Turla y similitudes técnicas, no en la identidad de personas concretas. Turla actúa desde al menos 2004; en 2023 el FBI neutralizó su programa Snake con la operación Medusa. Según ESET, desde 2022 cerca del 70 % de los países atacados eran antiguas repúblicas soviéticas o países europeos ligados históricamente a la URSS. Se desconoce cómo entraron.