Turla et Cereal : des courriels copiés vers Moscou

Qu'est-ce que le logiciel espion Cereal ?

ESET a baptisé cet ensemble d'outils Cereal. Son élément clé, CerealBox, se cache dans le processus qui gère le flux des messages sur Exchange. Il n'installe aucun nouveau service visible : il s'accroche aux mécanismes existants. Le message d'origine continue donc d'arriver chez son destinataire.

Il est aussi sélectif. CerealBox ne s'intéresse qu'aux courriels dotés de pièces jointes DOC, DOCX ou PDF, puis vérifie expéditeurs, destinataires, objets et noms de fichiers. Seuls les messages qui correspondent sont compressés, chiffrés et mis de côté pour les opérateurs.

En Roumanie, où ces outils ont servi le 23 décembre 2025, la configuration cherchait les échanges avec des adresses liées à l'OTAN et aux institutions européennes. Cela ne signifie pas que l'OTAN ou la Commission européenne ont été piratées : la victime est une organisation qui leur écrivait. ESET ne nomme pas l'administration roumaine, ne décrit pas le contenu des courriels et ignore le volume de données volées.

Pas besoin de serveur dédié

D'ordinaire, un logiciel espion contacte des serveurs des attaquants, ce qui peut le trahir. Ici, le module CerealNeuron restait sur le serveur Exchange infecté et attendait des requêtes web spécialement conçues, semblables à du trafic de messagerie normal. Les ordres passaient par l'infrastructure de la victime. Le code s'exécutait en grande partie en mémoire, laissant moins de traces sur le disque, et ESET relève un usage poussé de .NET, qui suppose une connaissance fine d'Exchange.

L'attribution repose sur d'anciens outils de Turla et des similitudes techniques, pas sur l'identité des opérateurs. Actif depuis au moins 2004, Turla a vu son logiciel Snake neutralisé par le FBI en 2023 (opération Medusa). Selon ESET, environ 70 % des pays visés depuis 2022 sont d'anciennes républiques soviétiques ou des pays européens liés à l'URSS. On ignore comment les pirates sont entrés.