Los hackers de Turla utilizan el nuevo malware Cereal para espiar los servidores Exchange del gobierno.

El grupo de ciberseguridad ruso Turla, respaldado por el Estado, ha estado utilizando un nuevo conjunto de herramientas maliciosas llamado "Cereal" para interceptar correos electrónicos en servidores Microsoft Exchange de organizaciones gubernamentales.

Investigadores de la empresa de ciberseguridad ESET documentaron los ataques a finales de 2025, detectando inicialmente malware modular .NET para Microsoft Exchange en un organismo gubernamental de Kazajistán.

Un mes después, ESET encontró el mismo conjunto de herramientas en una agencia gubernamental de Rumanía, donde recopiló selectivamente correspondencia por correo electrónico con representantes de la Organización del Tratado del Atlántico Norte (OTAN) y la Unión Europea (UE).

"Tras perfeccionar nuestras detecciones, encontramos el mismo conjunto de herramientas en una organización gubernamental de Rumanía, comprometida el 23 de diciembre de 2025", afirman los investigadores en un informe publicado hoy.

Turla, también conocido como Snake, Secret Blizzard y Waterbug, es un grupo de ciberespionaje activo desde hace más de dos décadas y vinculado al Servicio Federal de Seguridad (FSB) de Rusia.

En la campaña analizada por ESET, los hackers utilizan el conjunto de herramientas Cereal, específicamente un componente llamado CerealBox, para inyectarse en el proceso EdgeTransport.exe de Exchange y secuestrar los controladores de los agentes de transporte existentes.

El malware ejecuta comandos en memoria y puede inspeccionar el contenido del correo electrónico sin registrar un nuevo agente de transporte ni interrumpir la entrega normal de correo electrónico en el servidor Exchange.

Turla configuró el malware para recopilar selectivamente mensajes que contienen archivos adjuntos de documentos, como archivos .DOC, .DOCX y .PDF, y que coinciden con ciertos criterios de remitente, destinatario y asunto.

Otro componente del malware, llamado CerealNeuron, espera solicitudes web cifradas entrantes en rutas que imitan a los servicios legítimos de Exchange, las cuales contienen comandos para su ejecución.

CerealNeuron verifica y descifra la solicitud, y luego ejecuta el programa CerealRunner, un programa contenedor que incluye el código que los atacantes desean ejecutar.