Peneliti ESET menemukan perangkat malware bernama Cereal yang digunakan untuk memata-matai server Microsoft Exchange di instansi pemerintah. ESET mengaitkannya dengan tingkat keyakinan tinggi kepada Turla, kelompok spionase siber yang terkait dengan Rusia. Temuan mencakup instansi di Kazakhstan dan Rumania, tempat malware dikonfigurasi untuk mengumpulkan email yang melibatkan alamat institusi NATO dan Uni Eropa.
ESET pertama kali menemukan Cereal pada server Exchange sebuah instansi pemerintah Kazakhstan pada 28 November 2025. Setelah memperbarui deteksinya, peneliti mengidentifikasi perangkat yang sama pada instansi pemerintah Rumania yang disusupi pada 23 Desember 2025. Turla, yang juga dikenal sebagai Snake, telah aktif selama lebih dari dua dekade dan kerap menyasar pemerintahan serta organisasi diplomatik.
CerealBox menyaring email tanpa mengganggu pengiriman
Komponen CerealBox bekerja di dalam proses transportasi email Exchange. Malware memanfaatkan penangan peristiwa milik agen transportasi yang sudah ada untuk memeriksa dan menyalin pesan yang dianggap menarik. Pengiriman email tetap berjalan, sehingga pengguna dapat terus berkirim pesan tanpa melihat gangguan yang jelas.
Menurut laporan, pelaku menyaring pesan berdasarkan pengirim, penerima, subjek, dan lampiran dokumen seperti DOC, DOCX, serta PDF. Pada kasus Rumania, penyaringan mencakup korespondensi dari atau menuju perwakilan NATO dan Uni Eropa.
Server Exchange korban menjadi titik kendali
CerealNeuron, komponen backdoor dalam perangkat tersebut, menunggu permintaan web masuk yang menyerupai lalu lintas layanan Exchange. Komponen ini menerima perintah terenkripsi dan menjalankan program kecil bernama CerealRunner di memori. Hasilnya dienkripsi sebelum dikirim kembali melalui jalur yang sama.
Peneliti menemukan kemampuan untuk mengambil email, memetakan pengguna dan grup Active Directory, membaca berkas, serta mengakses kredensial yang tersimpan secara lokal. ESET tidak mengamati infrastruktur kendali eksternal dalam serangan yang ditelitinya. Server Exchange yang sudah disusupi berfungsi sebagai titik akses bagi operator.
Dirancang untuk spionase jangka panjang
ESET juga menemukan CerealHermit, varian yang menerima perintah melalui berkas terenkripsi di disk. Peneliti menilai desain modular dan banyaknya program dengan struktur serupa mengindikasikan kerangka internal untuk menyiapkan perintah secara otomatis.
Perangkat ini memanfaatkan mekanisme eksekusi .NET dan menjalankan banyak komponennya di memori. ESET menilai jejak berkas yang kecil serta pemakaian proses sah membantu mendukung spionase tersembunyi dalam jangka panjang. Laporan lengkap ESET menyertakan indikator kompromi untuk mendukung pemeriksaan sistem.
Sumber: ESET – Exchange for breakfast: Turla’s Cereal tricks are not for kids
