El malware Turla Cereal ataca los servidores Exchange del gobierno.

Investigadores de seguridad descubrieron un conjunto de herramientas .NET modular llamado Turla Cereal, un malware dirigido a servidores gubernamentales de Microsoft Exchange. Los atacantes comprometieron agencias estatales en Kazajistán y Rumania sin configurar servidores de comando externos. En cambio, esta intrusión de Turla Cereal en Exchange convierte el propio servidor de correo electrónico de la víctima en una base operativa para interceptar comunicaciones diplomáticas.

¿Qué sucedió durante las intrusiones?

A finales de 2025, investigadores de seguridad detectaron un nuevo conjunto de herramientas de ciberespionaje que se ejecutaban dentro de una red gubernamental en Kazajistán. Según una investigación detallada de ESET sobre el conjunto de herramientas Cereal de Turla, los operadores desplegaron varios módulos .NET interconectados en los sistemas comprometidos. Unas semanas después, los analistas identificaron los mismos componentes dentro de una agencia gubernamental en Rumania.

«Dado que las herramientas dependen en gran medida de la serialización (una técnica para empaquetar datos y código para su transmisión), les hemos dado nombres que comienzan con el prefijo "Cereal"», escribieron los investigadores de ESET. A diferencia del malware típico, este conjunto de herramientas prácticamente no utiliza servidores de comando externos. “Uno de los aspectos más interesantes de este conjunto de herramientas es lo que no encontramos: una infraestructura externa de comando y control (C&C)”, afirma el informe. En cambio, el propio servidor de correo electrónico de la víctima funciona como centro de administración central.

Arquitectura modular .NET y ejecución pasiva

La cadena de malware comienza con CerealLoader, el único componente que se escribe en disco como un binario sin cifrar. CerealLoader aprovecha una característica poco común llamada Correcciones de tabla virtual (VTable Fixups) para ejecutar código máquina nativo antes de que se inicie el entorno de ejecución de .NET. En consecuencia, los descompiladores estáticos ven métodos vacíos que no hacen nada. Además, los operadores colocaron CerealLoader en carpetas del sistema de Windows como ncobjapi.dll o wbemcomn.dll para secuestrar servicios de administración legítimos. Los atacantes también colocaron archivos en la caché de imágenes nativas de .NET para ejecutar código cada vez que se inicia el proceso de búsqueda de Exchange.

Una vez cargado, CerealLoader descifra CerealSprinter y CerealRunner completamente en memoria. CerealRunner contiene pequeños programas .NET compilados, diseñados para tareas específicas, como consultar Active Directory o extraer contraseñas locales. Para recibir comandos, los operadores implementan CerealNeuron. Esta puerta trasera pasiva escucha las solicitudes web entrantes en rutas como /owa/sdds/ y /autodiscover/proxyservice/. «En lugar de iniciar conexiones salientes, espera las solicitudes entrantes», explicó ESET. Si una solicitud de red contiene claves de descifrado válidas, CerealNeuron ejecuta la carga útil en memoria. Mientras tanto, una variante sin conexión a la red, llamada CerealHermit, lee los archivos de comandos directamente del disco.