Los hackers rusos de Turla utilizan un nuevo malware de cereales para robar correos electrónicos de los servidores Exchange del gobierno.

El grupo de ciberdelincuentes patrocinado por el Estado ruso, conocido como Turla (también conocido como Snake), utiliza un conjunto de herramientas de ciberespionaje hasta ahora desconocido, llamado Cereal, para infiltrarse en los servidores Microsoft Exchange de las víctimas con el objetivo de recopilar correos electrónicos de forma subrepticia.

Según un informe de ESET compartido con The Hacker News antes de su publicación, esta sofisticada y modular herramienta está diseñada para la recopilación de inteligencia a largo plazo y se ha detectado su uso contra dos entidades gubernamentales en Kazajistán y Rumanía a finales de 2025.

"El conjunto de herramientas Cereal es un instrumento cuidadosamente diseñado para el ciberespionaje sigiloso y a largo plazo", afirmó la empresa eslovaca de ciberseguridad. "Deja poca información en el disco, evita la infraestructura externa que podría ser descubierta y bloqueada, y se oculta dentro de los procesos legítimos de Exchange".

"El conjunto de herramientas Cereal demuestra que, para Turla, los servidores Exchange no son solo servidores de correo: son puntos de recopilación robustos, centros de ejecución internos y un entorno idóneo para ocultar técnicas sofisticadas de .NET".

El conjunto de herramientas es una colección de componentes interconectados capaces de ejecutarse en servidores Microsoft Exchange, recibir comandos, ejecutarlos en memoria, mapear la red infectada y recopilar correos electrónicos de interés. Se desconoce el vector de acceso inicial utilizado para distribuir el malware, aunque se sabe que el grupo realiza ataques de spear-phishing, watering hole y ataques de adversario en el medio (AitM) a nivel de proveedor de servicios de Internet (ISP).