Kémkedés NATO- és EU-levelezésben
Az orosz állambiztonsági szolgálathoz köthető Turla kiberkémkedési csoport Cereal nevű kártevőcsaládját azonosították kazahsztáni és romániai kormányzati szervezetek Microsoft Exchange levelezőszerverein. Az ESET kutatása szerint a támadók célja a hosszú távú, észrevétlen információgyűjtés volt, különös tekintettel a NATO-val és az Európai Unióval folytatott kommunikációra.
A kutatók először 2025. november 28-án, Kazahsztánban észlelték a korábban ismeretlen eszközkészletet, majd december 23-án egy román kormányzati szervezetnél is azonosították. Utóbbi esetben a kártevőt kifejezetten a NATO és az EU címeivel folytatott levelezés kiszűrésére állították be.
A Cereal több, egymással együttműködő komponensből áll. A CerealBox modul közvetlenül az Exchange levelezésfeldolgozó folyamatába épül be, ahol a megadott feltételeknek megfelelő üzenetekről másolatot készíthet. A rendszer képes a levelek mellékleteinek vizsgálatára, valamint a kiválasztott adatok titkosított tárolására is, miközben a levelezés zavartalanul folytatódik.
A támadás különlegessége, hogy a kártevő nem használ külön, támadók által üzemeltetett vezérlőszervert. Ehelyett a már kompromittált Exchange-kiszolgáló fogadja a legitim webes forgalomnak álcázott utasításokat. A rosszindulatú kód jelentős része közvetlenül a memóriában fut, ami tovább nehezíti a felderítést.
Az ESET nagy bizonyossággal a Turla csoporthoz köti az eszközkészletet, amelynek tevékenysége legalább 2004 óta ismert. A szerverek kompromittálásának kezdeti módját ugyanakkor nem sikerült megállapítani.
