Des hackers russes liés à l’État ont compromis des serveurs de messagerie gouvernementaux en Roumanie et au Kazakhstan en utilisant une boîte à outils malveillante jusque-là non documentée, conçue pour la surveillance secrète. L’opération a permis aux attaquants d’intercepter certaines communications, y compris des messages échangés avec l’OTAN et les institutions de l’Union européenne, sans interrompre la livraison normale des e-mails.
Société ESET disclosed the findings de cybersécurité le 10 novembre 2026, attribuant cette activité avec grande confiance à Turla, un groupe de cyberespionnage de longue date associé au Service fédéral de sécurité russe (FSB). Les chercheurs ont nommé la nouvelle boîte à outils découverte Cereal.
La première infection connue a été identifiée dans une organisation gouvernementale au Kazakhstan le 28 novembre 2025. Une enquête plus approfondie a révélé le même malware dans une institution gouvernementale roumaine, où des chercheurs ont retracé la compromission jusqu’au 23 décembre 2025.
En Roumanie, les assaillants ont configuré leurs outils pour identifier les courriels impliquant des adresses de l’OTAN et de l’UE, y compris nato.int et europa.eu. La collecte ciblée suggère que l’opération visait à obtenir des renseignements gouvernementaux et diplomatiques plutôt que sur le vol de grandes quantités d’informations sans rapport.
Cereal fonctionne directement à l’intérieur de serveurs Microsoft Exchange compromis. L’un de ses composants, CerealBox, s’intègre au logiciel responsable du traitement des e-mails entrants et sortants, permettant aux attaquants d’examiner les messages avant qu’ils n’atteignent leur destination.
Le malware sélectionne les communications en fonction de critères prédéfinis, incluant les adresses de l’expéditeur et du destinataire, les sujets des emails et les noms des pièces jointes. Il peut également identifier les messages contenant des documents Word et des pièces jointes PDF. Les emails correspondants sont copiés, compressés et chiffrés pour une récupération ultérieure.
Il est important de noter que les messages originaux se poursuivent par le processus de livraison normal. Cela permet aux attaquants de collecter des informations sans créer de perturbations évidentes susceptibles d’alerter les employés ou les administrateurs système.
Un autre composant, CerealNeuron, fournit un accès à distance aux serveurs compromis. Au lieu de communiquer avec un serveur de commande externe conventionnel, il attend des requêtes spécialement conçues envoyées directement à l’infrastructure Exchange de la victime.
Ces requêtes ressemblent à des services web Microsoft Exchange légitimes, ce qui rend plus difficile la distinction entre les activités malveillantes et le trafic réseau ordinaire. Des composants supplémentaires permettent aux attaquants d’exécuter des programmes en mémoire, d’examiner les systèmes internes et de collecter des informations sur l’environnement compromis.
ESET a noté que la boîte à outils était conçue pour laisser relativement peu de fichiers reconnaissables sur le disque. Son utilisation de composants chiffrés et de processus serveurs légitimes complique l’analyse médico-légale et la détection traditionnelle des malwares.
Turla mène des opérations de cyberespionnage depuis plus de vingt ans, ciblant fréquemment des agences gouvernementales, des organisations diplomatiques et d’autres institutions détenant des informations politiquement sensibles. Les campagnes précédentes du groupe ont impliqué plusieurs familles de malwares et techniques pour maintenir un accès à long terme à des réseaux compromis.
Les chercheurs n’ont pas déterminé comment les attaquants sont entrés initialement dans l’une ou l’autre organisation gouvernementale. Bien que les serveurs Exchange concernés aient été accessibles depuis Internet, il n’existe aucune preuve confirmée qu’une vulnérabilité logicielle spécifique ait été exploitée.
La quantité d’informations obtenues au cours de la campagne reste également inconnue. ESET a identifié deux organisations compromises mais n’a pas établi si d’autres victimes avaient été affectées par la même boîte à outils.