Turla i malware Cereal: kopie maili z Rumunii i Kazachstanu

Jak działa Cereal i co kopiuje?

Kluczowy moduł, CerealBox, ukrywa się w procesie obsługującym przepływ poczty w Exchange. Nie instaluje nowej usługi, tylko podpina się pod istniejące mechanizmy. Oryginalna wiadomość nadal trafia do odbiorcy. Program nie kopiuje wszystkiego: szuka maili z załącznikami DOC, DOCX lub PDF, a potem sprawdza nadawców, odbiorców, tematy i nazwy plików. Pasujące wiadomości są pakowane, szyfrowane i czekają na odbiór przez operatorów.

W Rumunii konfiguracja wyszukiwała korespondencję z adresami powiązanymi z NATO i instytucjami UE. To nie znaczy, że hakerzy włamali się do samego Sojuszu czy Komisji Europejskiej. Weszli do poczty organizacji, która z nimi pisała. ESET nie podał nazwy urzędu, treści wiadomości ani ilości skradzionych danych.

Bez własnego serwera sterującego

Zwykle malware łączy się z serwerem napastników, co może zdradzić intruza. Tu moduł CerealNeuron czekał na serwerze ofiary na specjalnie przygotowane żądania internetowe, które z zewnątrz wyglądały jak zwykły ruch pocztowy. Polecenia szły więc prosto do infrastruktury ofiary. Program korzystał też z pamięci operacyjnej, by zostawiać mniej śladów na dysku, a dodatkowe moduły przeglądały konta, sieć i zapisane dane logowania. ESET zwraca uwagę na zaawansowane użycie technologii .NET, które wymaga dobrej znajomości wnętrza oprogramowania Microsoftu.

Kim jest Turla

Grupa, znana też jako Secret Blizzard, działa co najmniej od 2004 r. Celuje w instytucje państwowe, placówki dyplomatyczne i organizacje obronne. W 2023 r. FBI w operacji Medusa unieszkodliwiło związany z nią program Snake. Przypisanie Cerealu opiera się na wcześniej znanych narzędziach Turli i podobieństwach technicznych, nie na ustaleniu konkretnych osób. Według ESET od 2022 r. około 70 proc. atakowanych przez grupę państw to dawne republiki radzieckie lub kraje Europy związane z ZSRR. Nie wiadomo, jak hakerzy dostali się na serwery po raz pierwszy.