Turla「Cereal」、政府メールを密かにコピー

Cerealマルウェアとは何か

ESETはこのツール群をCerealと名付けました。最初にカザフスタンの政府機関のサーバーで見つかり、2025年12月23日にはルーマニアの政府機関に対しても使われていたことが分かりました。ルーマニアはNATOとEUの両方に加盟しています。

中心となるのはCerealBoxというモジュールです。Exchangeでメールの流れを処理するプロセスに入り込むため、目に見える新しいサービスは作られません。元のメールは通常どおり届きます。しかもすべてをコピーするわけではなく、DOC、DOCX、PDFの添付ファイルがあるメールだけを選び、送信者、受信者、件名、ファイル名を確認します。条件に合ったものだけが圧縮、暗号化され、運用者が回収できる状態になります。

ルーマニアで見つかった設定は、NATOやEU機関に関連するアドレスとのやり取りを探すものでした。NATOや欧州委員会そのもののサーバーが侵入されたわけではなく、これらの機関と連絡を取っていた組織のメールに入り込まれた、ということです。

攻撃者はなぜ自前のサーバーを使わなかったのか

通常のマルウェアは攻撃者側のサーバーと通信し、その通信が発覚のきっかけになります。今回のCerealNeuronは感染したExchangeサーバー上で待機し、特殊に作られたウェブリクエストを受け取ります。外からは普通の社内メールの通信に見えます。

ESETはルーマニアの機関名も、盗まれたメールの内容も公表していません。流出したデータの総量も不明で、最初の侵入経路も分かっていません。

Turlaは少なくとも2004年から活動し、2023年にはFBIの作戦Medusaでスパイウェア「Snake」が無力化されました。ESETによれば、2022年以降にこの集団が狙った国の約70%は旧ソ連の共和国か、歴史的にソ連と結びつきの強い欧州の国でした。