Turla usa servidores Exchange como infraestrutura de comando e controle com o toolset Cereal

O Cereal é um conjunto modular de malware .NET feito para rodar em servidores Microsoft Exchange. A ESET encontrou o toolset em 28 de novembro de 2025, em um órgão governamental do Cazaquistão, e depois em um órgão da Romênia, comprometido em 23 de dezembro de 2025. A atribuição ao Turla é feita com alta confiança, com base no uso simultâneo de outro componente já ligado publicamente ao grupo e em semelhanças conceituais com malware antigo do Turla. O nome vem da serialização, técnica usada de forma intensa pelas ferramentas.

O ponto central é a ausência de infraestrutura externa de C2. O CerealNeuron, backdoor passivo, escuta requisições em caminhos que parecem tráfego normal de OWA, Autodiscover e ActiveSync. Se a requisição estiver criptografada e passar nas verificações de integridade, ele a executa como comando. Se não passar, redireciona o cliente para uma página de erro legítima do Exchange. A ESET não conseguiu identificar os IPs de entrada dos operadores. Os comandos chegam como pequenos programas .NET empacotados no CerealRunner, e o CerealBox, injetado no serviço de transporte do Exchange, filtra e separa e-mails de interesse. Na Romênia, ele estava configurado para endereços da OTAN e da União Europeia. O CerealHermit serve de plano B: lê comandos de arquivos criptografados em disco. Para detecção, a ESET aponta DLLs como ncobjapi.dll e wbemcomn.dll falsas em System32\wbem e abuso do cache de imagens nativas do .NET.

Para quem opera Exchange exposto à internet, a leitura é direta: bloquear domínios e IPs maliciosos não resolve aqui, porque o ponto de controle é o próprio servidor. A defesa passa por integridade de arquivos em System32\wbem, revisão do cache de imagens nativas do .NET e auditoria de quais assemblies o EdgeTransport.exe carrega em relação aos transport agents registrados. Órgãos públicos e organizações que trocam e-mail com instituições da OTAN e da UE são o perfil descrito na pesquisa.