El grupo de espionaje Turla, también conocido como Snake y alineado con el Estado ruso, usa una herramienta nueva llamada Cereal para robar correos desde servidores Microsoft Exchange. ESET la detectó a finales de 2025 en dos entidades gubernamentales, una en Kazajistán y otra en Rumania. El caso importa a cualquier organización con Exchange instalado en sus propios servidores, porque el atacante convierte el servidor de correo en un punto de recolección permanente y casi invisible.
Cereal no depende de una infraestructura externa de mando y control (C2), es decir, de los servidores desde los que el atacante suele dar órdenes al malware. En su lugar, usa el propio Exchange comprometido para recibir instrucciones. Su componente CerealNeuron es una puerta trasera pasiva. Escucha peticiones web en rutas que parecen tráfico normal de Exchange y ejecuta las órdenes que llegan. Cada orden es un pequeño programa .NET compilado (.NET es la plataforma de desarrollo de Microsoft) que se ejecuta en memoria y deja muy poco rastro en disco.
El conjunto tiene ocho componentes. Unos cargan y descifran módulos, otros inyectan código en procesos legítimos. El módulo de robo, CerealBox, se inyecta en el servicio de transporte de Exchange (EdgeTransport.exe) y revisa el flujo de correo. Busca mensajes con adjuntos DOC, DOCX o PDF que coincidan con listas de remitentes, destinatarios, asuntos o nombres de archivo. En Rumania estaba configurado para capturar correos con direcciones de instituciones de la OTAN y la Unión Europea. Los mensajes seleccionados se comprimen, se cifran, se guardan en disco y luego se extraen y se borran.
Las órdenes también permiten descargar buzones completos y consultar el Directorio Activo (el servicio que gestiona usuarios y equipos en redes Windows). Además, permiten ejecutar consultas WMI, la interfaz de administración de Windows, y listar instantáneas de volumen. Incluso pueden extraer los secretos LSA, credenciales que Windows guarda de forma protegida. ESET no identificó cómo entraron los atacantes. Turla suele usar correos dirigidos con engaños, sitios web legítimos comprometidos e interceptación de tráfico a nivel del proveedor de internet.
No hay un CVE ni un parche específico asociado a Cereal, pues no explota una falla concreta conocida. Las mitigaciones aplicables son las siguientes:
- Mantener Exchange en la última actualización acumulativa y de seguridad.
- Revisar los registros de IIS en busca de peticiones anómalas a rutas de Exchange.
- Vigilar módulos .NET cargados de forma inesperada en EdgeTransport.exe.
- Buscar archivos cifrados desconocidos en el servidor.
- Limitar las conexiones salientes del servidor de correo.
- Contrastar el entorno con los indicadores publicados en el informe de ESET.
Si el servidor muestra señales de compromiso, conviene restablecer las credenciales del dominio, porque los secretos LSA pudieron quedar expuestos.
Qué significa para tu empresa: Si tu organización mantiene Exchange en sus propios servidores, trátalo como un activo crítico y no como un simple servidor de correo. Esta semana verifica que tenga instalada una solución de protección de endpoints EDR/XDR capaz de detectar inyección de código en memoria. Cereal casi no deja archivos que un antivirus tradicional pueda reconocer. En nuestra experiencia, muchos servidores Exchange locales quedan fuera de la cobertura de EDR por temor a afectar su rendimiento, y ese es precisamente el punto ciego que Turla aprovecha.
Fuente original: The Hacker News — ver artículo →