Hackers russos ligados ao Estado comprometeram servidores de e-mail governamentais na Romênia e no Cazaquistão usando um kit de malware anteriormente não documentado, projetado para vigilância encoberta. A operação permitiu que atacantes interceptassem comunicações selecionadas, incluindo mensagens trocadas com instituições da OTAN e da União Europeia, sem interromper a entrega normal de e-mails.
Empresa ESET disclosed the findings de cibersegurança em 10 de novembro de 2026, atribuindo a atividade com alta confiança à Turla, um grupo de ciberespionagem de longa data associado ao Serviço Federal de Segurança (FSB) da Rússia. Os pesquisadores batizaram o recém-descoberto kit de ferramentas Cereal.
A primeira infecção conhecida foi identificada em uma organização governamental no Cazaquistão em 28 de novembro de 2025. Investigações posteriores descobriram o mesmo malware em uma instituição governamental romena, onde pesquisadores rastrearam o comprometimento até 23 de dezembro de 2025.
Na Romênia, os atacantes configuraram suas ferramentas para identificar e-mails envolvendo endereços da OTAN e da UE, incluindo nato.int e europa.eu. A coleta direcionada sugere que a operação focou em obter inteligência governamental e diplomática, em vez de roubar grandes volumes de informações não relacionadas.
O Cereal opera diretamente dentro de servidores Microsoft Exchange comprometidos. Um de seus componentes, o CerealBox, integra-se ao software responsável por processar e-mails recebidos e enviados, permitindo que atacantes examinem mensagens antes que cheguem ao destino.
O malware seleciona comunicações com base em critérios pré-definidos, incluindo endereços do remetente e destinatário, assuntos dos e-mails e nomes dos anexos. Também pode identificar mensagens contendo documentos do Word e anexos PDF. E-mails correspondentes são copiados, comprimidos e criptografados para recuperação posterior.
Importante, as mensagens originais continuam pelo processo normal de entrega. Isso permite que os atacantes coletem informações sem criar interrupções óbvias que possam alertar funcionários ou administradores de sistema.
Outro componente, o CerealNeuron, fornece acesso remoto a servidores comprometidos. Em vez de se comunicar com um servidor de comando externo convencional, ele aguarda requisições especialmente construídas enviadas diretamente para a infraestrutura Exchange da vítima.
Essas requisições se assemelham a serviços web legítimos do Microsoft Exchange, tornando a atividade maliciosa mais difícil de distinguir do tráfego de rede comum. Componentes adicionais permitem que os atacantes executem programas na memória, examinem sistemas internos e coletem informações sobre o ambiente comprometido.
A ESET observou que o kit de ferramentas foi projetado para deixar relativamente poucos arquivos reconhecíveis no disco. O uso de componentes criptografados e processos legítimos do servidor complica a análise forense e a detecção tradicional de malware.
Turla conduz operações de ciberespionagem há mais de duas décadas, frequentemente mirando agências governamentais, organizações diplomáticas e outras instituições que possuem informações politicamente sensíveis. As campanhas anteriores do grupo envolveram múltiplas famílias de malwares e técnicas para manter acesso de longo prazo a redes comprometidas.
Os pesquisadores não determinaram como os atacantes entraram inicialmente em nenhuma das organizações governamentais. Embora os servidores Exchange afetados fossem acessíveis pela internet, não há evidências confirmadas de que uma vulnerabilidade específica de software tenha sido explorada.
A quantidade de informações obtidas durante a campanha também permanece desconhecida. A ESET identificou duas organizações comprometidas, mas não estabeleceu se outras vítimas foram afetadas pelo mesmo conjunto de ferramentas.