Newshot 俄罗斯关联的国家支持威胁行为体Turla（又名Snake）正在使用一套此前未被记录的网络间谍工具集Cereal，用于入侵受害者的Microsoft Exchange服务器，目的是暗中收集电子邮件。
根据ESET在发布前与The Hacker News分享的报告，这款复杂且模块化的工具专为长期情报收集而设计，已于2025年底针对哈萨克斯坦和罗马尼亚的两个政府实体被发现。
“Cereal工具集是一件精心打造的长期、隐蔽网络间谍活动工具，”这家斯洛伐克网络安全公司表示。“它几乎不在磁盘上留下痕迹，避免使用可能被发现和封锁的外部基础设施，并将自身隐藏在合法的Exchange进程中。”
“Cereal工具集表明，对Turla而言，Exchange服务器不仅仅是邮件服务器——它们是持久的收集点、内部执行枢纽，以及隐藏复杂.NET技术的合适环境。”
该工具集由多个相互关联的组件组成，能够在Microsoft Exchange服务器上运行、接收命令、在内存中执行命令、绘制受感染网络图谱，并收集感兴趣的电子邮件。传递该恶意软件的初始访问途径尚不清楚，尽管该组织已知会进行鱼叉式网络钓鱼、水坑攻击以及ISP级别的对抗中间人（AitM）攻击。
Cereal得名于这些工具大量使用序列化——序列化是指将数据结构或对象状态转换为易于存储、传输和重建的格式的过程。
多个方面使该恶意软件与众不同——
- 缺乏外部命令与控制（C2）基础设施，转而滥用一台被入侵的Exchange服务器来实现此目的。
- 以独立的、编译后的.NET程序形式发送命令。
- 使用自动化电子邮件收集模块，该模块被注入合法的Microsoft Exchange进程，并被设计为操纵电子邮件传输管道。
ESET补充说，这些技术的组合表明该威胁行为体对Microsoft Exchange的内部运作有着深入理解。Cereal框架由八个协同工作的组成部分构成，为攻击者提供对敏感电子邮件数据的访问——
- CerealRunner，由操作者部署，作为投放额外组件（包括CerealLoader、CerealSprinter、CerealIron和CerealMoth）的通道。
- CerealLoader，从磁盘上的加密文件加载并运行.NET程序集，从而执行CerealSprinter。
- CerealSprinter，功能类似于CerealRunner，用于解密并运行CerealNeuron、CerealHermit和CerealBox。
- CerealIron，一个注入器，使得从非.NET进程加载和运行.NET程序集成为可能。
- CerealMoth，接收程序集和方法名作为输入，加载该程序集并运行指定的方法。
- CerealNeuron，一个被动后门，在被入侵的Exchange Server上运行，监听看起来像常规Exchange流量的路径上的传入Web请求，以执行包含在CerealRunner二进制文件中的程序集。
俄罗斯 Turla 黑客利用新型 Cereal 恶意软件从政府 Exchange 服务器窃取电子邮件
- CerealHermit，是 CerealNeuron 的一个变种，它从磁盘上的加密文件中读取命令，并且自身不具备网络功能。
- CerealBox，是电子邮件收集模块，它通过将自身注入 Exchange 传输服务（“EdgeTransport.exe”）来处理、筛选和收集电子邮件消息。
在获得对电子邮件流的可见性后，恶意软件会查找包含 DOC、DOCX 或 PDF 附件的邮件，并将这些邮件与多个硬编码列表中的至少一个进行匹配，这些列表包含发件人地址、收件人地址、主题行或附件名称。
符合筛选条件的电子邮件会被压缩、加密，并暂存到磁盘上的文件中，随后通过 CerealNeuron 命令外传并删除。
在针对罗马尼亚政府组织的攻击中，据称 CerealBox 被配置为收集涉及北约和欧盟机构地址的电子邮件，这一模式与俄罗斯的战略优先事项相符。
以编译后的 .NET 程序形式投递的命令由 CerealRunner 处理，它会在内存中解包并执行有效载荷，然后将结果发送回 CerealNeuron，以便随后以加密格式外传给威胁行为者。
这些命令支持检索邮箱或特定邮件；将 Active Directory 中的计算机、用户、组和 DNS 记录加入队列；运行 Windows Management Instrumentation (WMI) 查询；提取 LSA Secrets；列出卷快照；以及执行文件操作。
“数量庞大的几乎相同的二进制文件，每个都为特定任务而编译，这强烈表明操作者拥有一个内部框架，可自动完成命令的编译和打包，”ESET 研究员 Matías Porolli 表示。
“再加上围绕模块化、可互换组件构建的代码库，给人的印象是一个成熟、精心设计的平台——而不是一组松散的脚本。”