هکرهای Turla از بدافزار جدید Ceral برای جاسوسی از سرورهای دولتی Exchange استفاده می کنند

گروه تهدید تحت حمایت دولت روسیه Turla از ابزار مخرب جدیدی به نام "Cereal" برای رهگیری ایمیل‌های سرورهای Microsoft Exchange در سازمان‌های دولتی استفاده می‌کند.

محققان شرکت امنیت سایبری ESET این حملات را در اواخر سال 2025 مستند کردند و در ابتدا بدافزار دات نت مدولار را برای Microsoft Exchange در یک نهاد دولتی در قزاقستان پیدا کردند.

یک ماه بعد، ESET همان ابزار را در یک آژانس دولتی در رومانی پیدا کرد، جایی که به طور انتخابی مکاتبات ایمیلی را با نمایندگان سازمان پیمان آتلانتیک شمالی (ناتو) و اتحادیه اروپا (EU) جمع آوری کرد.

محققان امروز در گزارشی می‌گویند: «پس از تنظیم دقیق شناسایی‌هایمان، همان ابزار را در یک سازمان دولتی در رومانی پیدا کردیم - که در 23 دسامبر 2025 به خطر افتاد.»

تورلا که با نام‌های Snake، Secret Blizzard و Waterbug نیز شناخته می‌شود، یک گروه جاسوسی سایبری است که بیش از دو دهه فعال است و با سرویس امنیت فدرال روسیه (FSB) مرتبط است.

در کمپین مورد تجزیه و تحلیل ESET، هکرها از مجموعه ابزار Cereal و به طور خاص یک جزء در کیت به نام CerealBox برای تزریق به فرآیند EdgeTransport.exe Exchange و ربودن گردانندگان عوامل حمل‌ونقل موجود استفاده می‌کنند.

بدافزار دستورات را در حافظه اجرا می‌کند و می‌تواند محتوای ایمیل را بدون ثبت یک عامل حمل‌ونقل جدید یا قطع کردن تحویل عادی ایمیل در سرور Exchange بازرسی کند.

Turla این بدافزار را طوری پیکربندی کرد که پیام‌های حاوی پیوست‌های سند مانند فایل‌های .DOC، .DOCX و .PDF را به‌طور انتخابی جمع‌آوری کند و با معیارهای فرستنده، گیرنده و موضوع خاصی مطابقت داشته باشد.

مؤلفه بدافزار دیگری به نام CerealNeuron، منتظر درخواست‌های وب رمزگذاری‌شده دریافتی در مسیرهایی شبیه به سرویس‌های Exchange قانونی است که فرمان‌هایی را برای اجرا حمل می‌کنند.

CerealNeuron درخواست را بررسی و رمزگشایی می‌کند، سپس برنامه CerealRunner ارائه شده را اجرا می‌کند، یک برنامه پوششی که حاوی کدی است که مهاجمان می‌خواهند اجرا کنند.

دستورات ممکن است شامل کدهایی برای بازیابی ایمیل ها از Exchange، جستجو در اکتیو دایرکتوری برای کاربران، گروه ها و سوابق DNS، استخراج اعتبارنامه های ذخیره شده محلی، خواندن فایل ها یا حذف فایل ها باشد.

ESET در مورد برنامه‌های یکبار مصرف که به عنوان حامل فرمان عمل می‌کنند، می‌گوید: «حجم بسیار باینری‌های تقریبا یکسان، که هر کدام برای یک کار خاص کامپایل شده‌اند، قویا نشان می‌دهد که اپراتورها یک چارچوب داخلی دارند که کامپایل و بسته‌بندی دستورات را خودکار می‌کند.

"در ترکیب با یک پایگاه کد ساخته شده حول اجزای ماژولار و قابل تعویض، این تصور به جای مجموعه ای از اسکریپت ها، یکی از پلتفرم های بالغ و کاملا مهندسی شده است."

اجزای CerealRunner حاوی برنامه های دات نت رمزگذاری شده و آرگومان های مورد نیاز برای اجرای آنها هستند که در حافظه میزبان اجرا می شوند و سپس خروجی خود را به CerealNeuron برمی گردانند.

در نهایت CerealNeuron خروجی را رمزگذاری کرده و آن را برای مهاجمان ارسال می کند.

ESET هیچ زیرساخت خارجی فرمان و کنترل (C2) مورد استفاده در حمله را مشاهده نکرد و سرور Exchange آسیب‌دیده را به عنوان تنها نقطه کنترل باقی گذاشت.

محققان همچنین نوعی از CerealNeuron به نام CerealHermit را کشف کردند که فاقد قابلیت های شبکه است و در عوض دستورات فایل های رمزگذاری شده روی دیسک را می خواند.

CerealHermit ممکن است به عنوان یک سیستم بازگشتی / افزونگی برای زمانی که کانال وب Neuron در دسترس نیست عمل کند. با این حال، ESET توضیح نداد که مهاجمان چگونه فایل‌های فرمان Hermit را روی سرور قرار می‌دهند یا نتایج اجرا را بازیابی می‌کنند.

محققان خاطرنشان می کنند که روش های پنهان سازی پیشرفته Cereal درک عمیق تورلا از تکنیک های اجرای دات نت را نشان می دهد، از جمله سوء استفاده از حافظه پنهان تصویر بومی دات نت برای اجرا در فرآیندهای قانونی.

ESET می‌گوید مجموعه ابزار Cereal برای «جاسوسی سایبری طولانی‌مدت و مخفیانه» طراحی شده است که دارای یک دیسک کوچک است و به زیرساخت‌هایی متکی است که احتمال شناسایی و مسدود شدن آن کمتر است.

این شرکت لیست کاملی از شاخص های سازش را در صفحه GitHub خود به اشتراک گذاشته است.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

مایکروسافت: به‌روزرسانی‌های اکتبر ویندوز سرور، ورود به سیستم Exchange، جریان ایمیل را قطع می‌کنند

مایکروسافت: هکرهای چینی به حساب‌های ایمیل اکسچنج دولت آمریکا نفوذ کردند

شرکت روسی ابری Beget پس از حمله پاک‌کن داده‌ها، از ابتدا بازسازی می‌کند

هکرها از سوء استفاده‌های n-day در حملات بدون کلیک بر روی دستگاه‌های iOS و Android استفاده می‌کنند

هکرهای چینی از ARTEX AI در حملات خودکار علیه 200 سازمان استفاده می کنند