Turla scatena Cereal su Exchange: furto email invisibile e spionaggio contro governi NATO-UE

Il gruppo di cyber spionaggio Turla, associato alla Russia e noto anche come Snake, è stato osservato mentre utilizza un nuovo toolset malware chiamato Cereal per compromettere server Microsoft Exchange e sottrarre email in modo furtivo. La minaccia si distingue per un approccio progettato per la persistenza e la raccolta di intelligence a lungo termine, con tecniche mirate a ridurre al minimo le tracce su disco e a confondersi con i processi legittimi di Exchange.

Le attività rilevate hanno colpito enti governativi, con casi documentati in Kazakistan e Romania, indicando un interesse diretto verso comunicazioni istituzionali e dati sensibili.

Cereal prende il nome dall’uso esteso della serializzazione, una tecnica che trasforma strutture dati e oggetti in un formato facilmente memorizzabile e ricostruibile. In un contesto di attacco, questo consente di impacchettare comandi e risultati in modo efficiente, facilitando esecuzione e trasferimento senza ricorrere a canali rumorosi. Un elemento centrale è l’assenza di una classica infrastruttura di comando e controllo esterna. Invece di appoggiarsi a server remoti facilmente bloccabili, gli attaccanti abusano del server Exchange compromesso come punto di orchestrazione, riducendo la superficie di rilevamento e aumentando la resilienza dell’operazione.

Il framework è modulare e composto da più componenti che cooperano per ricevere istruzioni, eseguire codice in memoria, mappare la rete e filtrare la posta di interesse. Tra i moduli chiave compaiono loader e runner che decifrano e avviano assembly .NET, oltre a un injector capace di caricare codice .NET anche da processi non .NET. Un backdoor passivo può restare in ascolto di richieste web su percorsi che imitano traffico Exchange normale, mentre una variante senza funzionalità di rete legge comandi da file cifrati su disco.

La parte più critica è il modulo di raccolta email, che viene iniettato nel servizio di trasporto di Exchange e può manipolare la pipeline di trasporto. Il malware osserva il flusso dei messaggi e seleziona quelli con allegati DOC, DOCX o PDF, incrociando criteri come mittenti, destinatari, oggetti e nomi dei file con liste predefinite. Le email selezionate vengono compresse e cifrate, salvate temporaneamente e poi esfiltrate tramite comandi, con successiva cancellazione per limitare le evidenze. In un attacco rivolto a un’organizzazione governativa rumena, la configurazione avrebbe privilegiato messaggi collegati a indirizzi istituzionali di NATO e Unione Europea, coerentemente con priorità strategiche di intelligence.