Turla и шпион Cereal: копии писем из Румынии и Казахстана

Как работает Cereal и что он копирует?

Главный модуль, CerealBox, прячется в процессе, который обрабатывает почтовый поток Exchange. Новой службы он не устанавливает, а подключается к существующим механизмам. Исходное письмо по-прежнему доходит до получателя. Копирует программа не всё: берёт письма с вложениями DOC, DOCX или PDF, затем проверяет отправителей, получателей, темы и имена файлов. Подошедшие письма упаковываются, шифруются и ждут, пока их заберут операторы.

В Румынии конфигурация искала переписку с адресами, связанными с НАТО и учреждениями ЕС. Это не значит, что взломали сам альянс или Еврокомиссию: хакеры попали в почту организации, которая с ними переписывалась. ESET не назвал румынское ведомство, не раскрыл содержание писем и объём похищенных данных.

Без собственного управляющего сервера

Обычно вредоносная программа связывается с сервером злоумышленников, и это может выдать их. Здесь модуль CerealNeuron оставался на сервере жертвы и ждал специально составленных веб-запросов, которые снаружи выглядели как обычный почтовый трафик. Программа также использовала оперативную память, оставляя меньше следов на диске, а дополнительные модули изучали учётные записи, сеть и сохранённые пароли. В ESET отмечают очень продвинутое использование технологии .NET.

Кто такая Turla

Группа, известная и как Secret Blizzard, действует минимум с 2004 года и целится в госструктуры, дипломатические представительства и оборонные организации. В 2023 году ФБР в операции Medusa обезвредило связанную с ней программу Snake. Связь Cereal с Turla основана на ранее известных инструментах группы и технических сходствах, а не на установлении личностей операторов. По данным ESET, с 2022 года около 70% атакованных группой стран — бывшие советские республики или европейские страны, исторически связанные с СССР. Как хакеры получили первоначальный доступ, неизвестно.