Russische staatsgebonden hackers hebben overheids-e-mailservers in Roemenië en Kazachstan gecompromitteerd met behulp van een voorheen ongedocumenteerde malwaretoolkit die bedoeld was voor geheime surveillance. De operatie stelde aanvallers in staat geselecteerde communicatie te onderscheppen, waaronder berichten die werden uitgewisseld met NAVO- en Europese Unie-instellingen, zonder de normale e-mailbezorging te onderbreken.
Cybersecuritybedrijf ESET disclosed the findings op 10 november 2026, dat de activiteit met hoge zekerheid toeschrijft aan Turla, een langlopende cyberespionagegroep die verbonden is aan de Russische Federale Veiligheidsdienst (FSB). De onderzoekers noemden de nieuw ontdekte toolkit Cereal.
De eerste bekende infectie werd op 28 november 2025 geïdentificeerd bij een overheidsinstantie in Kazachstan. Verder onderzoek bracht dezelfde malware aan het licht bij een Roemeense overheidsinstelling, waar onderzoekers het probleem traceerden tot 23 december 2025.
In Roemenië hebben de aanvallers hun tools zo geconfigureerd dat e-mails met NAVO- en EU-adressen worden geïdentificeerd, waaronder nato.int en europa.eu. De gerichte verzameling suggereert dat de operatie zich richtte op het verkrijgen van overheids- en diplomatieke inlichtingen in plaats van het stelen van grote hoeveelheden niet-gerelateerde informatie.
Cereal werkt direct binnen gecompromitteerde Microsoft Exchange-servers. Een van de componenten, CerealBox, integreert met de software die verantwoordelijk is voor het verwerken van inkomende en uitgaande e-mails, waardoor aanvallers berichten kunnen onderzoeken voordat ze hun bestemming bereiken.
De malware selecteert communicatie op basis van vooraf gedefinieerde criteria, waaronder afzender- en ontvangeradressen, e-mailonderwerpen en bijlagennamen. Het kan ook berichten identificeren met Word-documenten en PDF-bijlagen. Overeenkomende e-mails worden gekopieerd, gecomprimeerd en versleuteld voor latere opvraging.
Belangrijk is dat de oorspronkelijke berichten doorgaan met het normale afleverproces. Dit stelt de aanvallers in staat informatie te verzamelen zonder duidelijke verstoringen te veroorzaken die werknemers of systeembeheerders kunnen waarschuwen.
Een ander component, CerealNeuron, biedt op afstand toegang tot gecompromitteerde servers. In plaats van te communiceren met een conventionele externe commandoserver, wacht het op speciaal geconstrueerde verzoeken die rechtstreeks naar de Exchange-infrastructuur van het slachtoffer worden gestuurd.
Deze verzoeken lijken op legitieme Microsoft Exchange-webservices, waardoor kwaadaardige activiteiten moeilijker te onderscheiden zijn van gewoon netwerkverkeer. Extra componenten stellen de aanvallers in staat programma’s in het geheugen uit te voeren, interne systemen te onderzoeken en informatie te verzamelen over de gecompromitteerde omgeving.
ESET merkte op dat de toolkit zo ontworpen is dat relatief weinig herkenbare bestanden op de schijf worden achtergelaten. Het gebruik van versleutelde componenten en legitieme serverprocessen bemoeilijkt forensische analyse en traditionele malwaredetectie.
Turla voert al meer dan twintig jaar cyberspionageoperaties uit, waarbij ze vaak overheidsinstanties, diplomatieke organisaties en andere instellingen met politiek gevoelige informatie aanpakken. De eerdere campagnes van de groep omvatten meerdere malwarefamilies en technieken om langdurige toegang tot gecompromitteerde netwerken te behouden.
Onderzoekers hebben niet vastgesteld hoe de aanvallers aanvankelijk een van beide overheidsorganisaties zijn binnengekomen. Hoewel de getroffen Exchange-servers toegankelijk waren vanaf het internet, is er geen bevestigd bewijs dat een specifieke softwarekwetsbaarheid is misbruikt.
De hoeveelheid informatie die tijdens de campagne werd verkregen, blijft ook onbekend. ESET identificeerde twee gecompromitteerde organisaties, maar stelde niet vast of extra slachtoffers door dezelfde toolkit werden getroffen.