Turla sử dụng kỹ thuật mới trong Cereal để truy cập server Exchange

Nhóm Turla đã sử dụng công cụ mới Cereal để truy cập vào các server Exchange của chính phủ Kazakhstan và Romania. Công cụ này hoạt động một cách tinh vi và không để lại dấu vết, gây khó khăn cho các nhà bảo mật trong việc phát hiện và ngăn chặn.

Nội dung chính

• Nhóm Turla đã phát triển công cụ Cereal, một tập hợp các công cụ độc đáo và tinh vi hoạt động trên server Exchange.
• Cereal được thiết kế để truy cập và thu thập thông tin từ các server Exchange mà không để lại dấu vết.
• Công cụ này đã được phát hiện trong các server của chính phủ Kazakhstan và Romania.
• Cereal không sử dụng giao thức C&C thông thường, thay vào đó sử dụng server Exchange bị chiếm để làm cơ sở hạ tầng C&C.
• Nhóm Turla đã sử dụng Cereal để thu thập thông tin từ các tổ chức liên quan đến NATO và EU.

Chi tiết sự việc

Turla, còn được gọi là Snake, đã hoạt động từ ít nhất năm 2004 và được đánh giá rộng rãi là một phần của Cơ quan An ninh Quốc gia Nga (FSB). Mục tiêu thường xuyên của Turla bao gồm chính phủ, các sứ quán và tổ chức phòng vệ, chủ yếu ở châu Âu, Trung Á và Trung Đông. Chúng tôi đã ghi nhận phần lớn vũ khí của Turla trong WeLiveSecurity. Năm 2025, chúng tôi cũng đã báo cáo về một sự hợp tác không thường thấy giữa Turla và Gamaredon trong bài viết Gamaredon X Turla collab và trong báo cáo trắng Gamaredon en 2025: sử dụng túneles, workers, dead drops và các liên minh mới.

Cereal là một bộ công cụ cho thấy khả năng của Turla trong việc thực hiện một cuộc xâm nhập chậm, cẩn thận và kéo dài, tập trung vào các máy chủ Microsoft Exchange. Chúng tôi đã xác định hai tổ chức chính phủ quốc gia bị Cereal tấn công, ở các khu vực địa lý trùng khớp chặt chẽ với mục tiêu đã biết của Turla. Theo telemetria của ESET, khoảng 70% các quốc gia mà Turla đã tấn công từ năm 2022 là các quốc gia cũ của Liên Xô hoặc các quốc gia châu Âu từng có mối quan hệ chặt chẽ với Liên Xô. Hình ảnh phân bố địa lý của hai vụ tấn công xác nhận được trình bày trong Hình 1.

Vụ tấn công tại Romania đặc biệt đáng chú ý vì một trong các thành phần, CerealBox, được cấu hình để thu thập tin nhắn liên quan đến địa chỉ tổ chức của NATO và EU. Cách tiếp cận này trùng khớp với ưu tiên lịch sử của các dịch vụ tình báo Nga. Nó cũng có thể liên quan đến các căng thẳng địa phương: từ đầu năm 2025, Romania đã báo cáo về nhiều sự cố trong đó máy bay không người lái Nga đâm vào lãnh thổ của họ hoặc trong lãnh thổ của họ, gây ra phản ứng mạnh mẽ từ các cơ quan Romania và kêu gọi thiết lập một sứ mệnh NATO trong khu vực Biển Đen.

Turla đã sử dụng kỹ thuật mới trong Cereal để truy cập server Exchange. Việc này diễn ra trong một bối cảnh chính trị quan trọng. Từ tháng 1 năm 2026, theo thông tin, Kazakhstan bắt đầu deport một số người tị nạn và phê phán Nga trước đây đã tìm thấy sự an toàn tại đó sau cuộc xâm lược quy mô lớn của Nga vào Ukraine. Mô hình hoạt động của tổ chức chính phủ Kazakhstan phù hợp với một tình huống mà các vận hành viên tìm cách thu thập thông tin về những người dị nghị Nga được chính quyền Kazakhstan biết đến, nhưng chưa xuất hiện trong danh sách deportation.

Chi tiết đáng chú ý là hoạt động tại Kazakhstan tăng cường vào ngày 15 tháng 1 năm 2026, ngày sau Tết cổ truyền vẫn còn được kỷ niệm ở Nga và một số nước láng giềng. Mã độc không kỷ niệm các ngày lễ, nhưng các vận hành viên của nó làm vậy.

Theo dõi chuỗi các mảnh của Cereal, các thành phần đầu tiên không giống như một backdoor truyền thống. Không có một implant monolithic rõ ràng, một danh sách command, hay một mẫu giao tiếp định kỳ với một server. Thay vào đó, hoạt động thể hiện như một chuỗi các thành phần chuyên biệt: payloads được mã hóa trên đĩa, assemblies .NET được chôn trong các assemblies .NET khác, các process Windows hợp pháp tải DLL nghi ngờ, và các services Exchange thực hiện code không nên có ở đó.

Xây dựng lại chuỗi này tiết lộ một bộ công cụ moduler dựa trên một số nguyên tắc thiết kế tái diễn: giữ payloads được mã hóa, thực thi code trong bộ nhớ khi có thể, tái sử dụng server Exchange bị lợi dụng, và gửi command như assemblies .NET độc lập. Hình 2 minh họa mối quan hệ giữa tất cả các thành phần được quan sát từ bộ công cụ.

CerealLoader, tải và thực thi một assembly .NET từ một tệp được mã hóa trên đĩa. Đây là thành phần duy nhất của bộ công cụ được viết trên đĩa như một tệp .NET có thể nhận diện. Mọi thứ khác được đưa vào các container được mã hóa, giải nén trong quá trình thực thi, và thực thi từ bộ nhớ.

CerealRunner chứa các binary khác được mã hóa, tải và thực thi. Cho phép bao bọc và phân phối command, cũng như các thành phần khác.

CerealSprinter tương tự như CerealRunner, nhưng chỉ sử dụng để tải và thực thi các thành phần khác.

CerealNeuron, một backdoor passively không có command tích hợp, nhưng có thể thực thi assemblies chứa trong binary CerealRunner nhận qua yêu cầu mạng. Chúng tôi đặt tên cho nó theo Neuron, một gia đình malware được ghi nhận và liên kết với Turla bởi Trung tâm An ninh Mạng Quốc gia Anh vào năm 2017, do cả hai có chức năng tương tự.

CerealHermit, một biến thể của CerealNeuron không có chức năng mạng. Đọc command từ các tệp được mã hóa trên đĩa.

CerealIron, một injector cho phép vận hành viên tải và thực thi assemblies .NET từ các process không sử dụng .NET.

CerealBox, xử lý, lọc và thu thập thông tin email quan trọng thông qua việc chèn vào dịch vụ vận chuyển Microsoft Exchange.

CerealMoth, một thành phần đơn giản nhận một assembly và tên phương thức, tải assembly và thực thi phương thức được chỉ định.

Đối tượng bị ảnh hưởng

Các server của chính phủ Kazakhstan và Romania đã bị truy cập, có thể dẫn đến rò rỉ thông tin quan trọng.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn WeLiveSecurity Español. Vui lòng đối chiếu bài gốc trước khi sử dụng.