Turla Cereal मैलवेयर: सरकारी ईमेल की कॉपी मॉस्को भेजी गई

Cereal मैलवेयर क्या करता है?

ESET ने इस टूलसेट को Cereal नाम दिया है। पहली बार यह कज़ाखस्तान की एक सरकारी संस्था के सर्वर पर मिला। बाद में 23 दिसंबर 2025 को रोमानिया की एक सरकारी संस्था के खिलाफ भी इसका इस्तेमाल सामने आया। रोमानिया NATO और यूरोपीय संघ, दोनों का सदस्य है।

इसका मुख्य हिस्सा CerealBox है। यह Exchange के उस प्रोसेस में छिप जाता है जो मेल को आगे बढ़ाता है, इसलिए कोई नई, दिखने वाली सेवा नहीं बनती। असली मेल अपने रास्ते चलता रहता है। CerealBox हर मेल की कॉपी नहीं करता। वह DOC, DOCX या PDF अटैचमेंट वाले मेल चुनता है, फिर भेजने वाले, पाने वाले, विषय और फ़ाइल के नाम जाँचता है। शर्तें पूरी होने पर मेल पैक और एन्क्रिप्ट होकर ऑपरेटरों के उठाने के लिए तैयार रखा जाता है।

रोमानिया में मिली कॉन्फ़िगरेशन NATO और EU संस्थाओं से जुड़े पतों के साथ हुई बातचीत खोज रही थी। इसका मतलब यह नहीं कि NATO या यूरोपीय आयोग के अपने सर्वर हैक हुए। हैकरों को उस संस्था की मेल तक पहुँच मिली जो इन संस्थाओं से संवाद करती थी।

हैकरों को अपने कंट्रोल सर्वर की ज़रूरत क्यों नहीं पड़ी?

आम तौर पर मैलवेयर हमलावरों के सर्वर से संपर्क करता है, और यही कनेक्शन उसे पकड़वा सकता है। यहाँ CerealNeuron मॉड्यूल संक्रमित Exchange सर्वर पर ही रुका रहता और खास तरह से बनाए गए वेब अनुरोधों का इंतज़ार करता। बाहर से वे सामान्य ऑफ़िस मेल ट्रैफ़िक जैसे दिखते थे।

ESET ने रोमानिया के विभाग का नाम नहीं बताया, न चुराए गए मेल की सामग्री। कुल कितना डेटा गया, यह भी तय नहीं हो सका। शुरुआती घुसपैठ कैसे हुई, यह भी अज्ञात है।

Turla कम से कम 2004 से सक्रिय है और 2023 में FBI के ऑपरेशन Medusa में उसका Snake स्पाइवेयर निष्क्रिय किया गया था। ESET की गणना है कि 2022 से इस समूह के निशाने पर रहे लगभग 70 प्रतिशत देश पूर्व सोवियत गणराज्य या यूरोप के ऐसे देश थे जो इतिहास में USSR से जुड़े रहे। रोमानिया और कज़ाखस्तान इसी पैटर्न में बैठते हैं।