Изследователи по киберсигурност от компанията ESET разкриха нова зловредна платформа на име Cereal, разработена за прехващане на електронна поща през сървъри Microsoft Exchange. Атаките се приписват на групата Turla, която прилага инструментариума за целенасочен шпионаж срещу правителствени структури. Случаят показва как пощенската инфраструктура може да бъде компрометирана отвътре, без прекъсване на нормалния поток от писма и без използване на външен команден сървър.
Какво представлява атаката и кого засяга
По данни на ESET първите следи от кампанията са документирани в края на 2025 г., когато модулният .NET зловреден софтуер е установен в държавна институция в Казахстан. Месец по-късно изследователите засичат същия инструментариум в правителствена агенция в Румъния, компрометирана на 23 декември 2025 г.
При атаката в Румъния зловредният код е бил настроен да събира избирателно кореспонденция, свързана с представители на НАТО (Северноатлантическия пакт) и Европейския съюз. Анализаторите посочват като автор групата Turla, наричана още Snake, Secret Blizzard и Waterbug. Тя развива дейност от повече от две десетилетия и се свързва с руската Федерална служба за сигурност (ФСБ).
Архитектура на Cereal: модулна структура и невидим контрол
Платформата Cereal е изградена от взаимозаменяеми компоненти, показващи задълбочено познаване на механизмите за изпълнение на .NET. Според ESET големият обем от почти идентични изпълними файлове показва наличието на вътрешна автоматизирана система за компилиране и пакетиране на команди. В кампанията се открояват няколко основни елемента:
Характерна особеност на Cereal е пълната липса на външна инфраструктура за управление (C2 сървъри). Самият компрометиран Exchange сървър служи като единствена контролна точка за инструкциите.
- CerealBox: компонент, който се инжектира в системния процес
EdgeTransport.exeна Exchange и поема контрола върху съществуващите манипулатори на транспортни агенти. Той изпълнява команди директно в оперативната памет и чете съдържанието на пощата, без да регистрира нов транспортен агент и без да прекъсва обичайната доставка на писма. Модулът е настроен да събира съобщения с прикачени файлове във формати.DOC,.DOCXи.PDF, които отговарят на определени критерии за подател, получател и тема. - CerealNeuron: модул, който очаква входящи криптирани уеб заявки на адреси, наподобяващи легитимни услуги на Exchange. Той декодира инструкциите и задейства тяхното изпълнение.
- CerealRunner: обвиващи програми за еднократна употреба, които носят криптиран .NET код. Те се зареждат в паметта на хоста и връщат резултата от изпълнението към CerealNeuron, който го криптира и изпраща обратно към нападателите.
- CerealHermit: вариант на CerealNeuron без мрежова функционалност, който чете команди от криптирани файлове на диска. Изследователите отбелязват, че този модул вероятно служи като резервен канал при недостъпност на уеб връзката.
Чрез тези модули нападателите могат да извличат имейли от сървъра, да правят заявки към Active Directory за потребители, групи и DNS записи, да извличат локално съхранени пароли, както и да четат или изтриват файлове. За прикриване се използва злоупотреба с кеша на компилираните изображения в .NET (native image cache), което позволява изпълнение на код вътре в легитимни процеси.
Защо случаят е важен за организациите с пощенски сървъри
Макар установените инциденти да засягат правителствени структури, методите за компрометиране на пощенски процеси представляват сериозно предупреждение за всички организации, поддържащи локален Microsoft Exchange. Нападателите превръщат пощенския сървър в плацдарм за вътрешно разузнаване на потребителите и цялата мрежова структура в Active Directory.
Липсата на изходящи връзки към външни C2 сървъри означава, че традиционните защитни стени и периметърни филтри не отчитат аномалии. Инструкциите се подават чрез входящи заявки, маскирани като стандартен трафик към услугите на Exchange, което прави откриването много трудно без специализиран мониторинг на системните процеси.
Препоръчителни стъпки за проверка и защита
Компанията ESET е предоставила списък с индикатори за компрометиране (IoC) в своето хранилище в GitHub. Системните администратори могат да предприемат следните мерки за защита на сървърната среда:
Проверявайте състоянието на системния процес за необичайно поведение в паметта и зареждане на непознати .NET библиотеки.
Инспектирайте логовете на уеб сървъра за необичайни криптирани заявки към легитимни системни пътища на пощенската услуга.
Наблюдавайте за необичайно генерирани заявки от пощенския сървър за извличане на потребителски списъци, групи или DNS записи.
Следете за нерегламентирани модификации в native image cache на .NET компонентите, които могат да прикриват зловреден код.
При нужда от задълбочен одит на пощенската инфраструктура и анализ на системните логове, екипът на Defend.bg може да съдейства с проверка на конфигурацията и сигурността на вашите сървъри.
Обобщение
Инструментариумът Cereal демонстрира усъвършенствана методология за шпионаж, разчитаща на работа изцяло в оперативната памет и минимален отпечатък върху диска. Тъй като зловредният код не нарушава обичайната доставка на писма, единственият начин за откриване остава задълбоченото наблюдение на системните процеси и своевременният анализ на логовете за сигурност.
