Группировка Turla на протяжении нескольких месяцев перехватывала электронную почту правительственных организаций Казахстана и Румынии через скомпрометированные серверы Microsoft Exchange. В румынском случае вредоносный модуль отбирал письма, отправленные на адреса НАТО и Евросоюза или полученные с них, сообщается в отчёте ESET Research от 10 ноября 2026 года.
Компрометацию в Казахстане исследователи обнаружили 28 ноября 2025 года, в Румынии — 23 декабря того же года. Названия конкретных ведомств ESET не раскрывает.
Атаку обеспечивал инструментарий Cereal. Его ключевой компонент CerealBox внедрялся в процесс EdgeTransport.exe и перехватывал обработчики транспортных агентов без регистрации нового агента. Модуль отбирал сообщения с вложениями .doc, .docx и .pdf, а также по критериям отправителя, получателя и темы.
Скрытность достигалась отказом от внешней командной инфраструктуры. Бэкдор CerealNeuron не подключался к управляющему серверу, а слушал входящие веб-запросы на легитимных путях Exchange: Outlook Web Access, Autodiscover и ActiveSync. Скомпрометированный почтовый сервер сам выступал командным центром, поэтому IP-адреса операторов не удалось идентифицировать.
Компоненты Cereal маскировались под легитимные файлы .NET Native Image Cache, например Microsoft.Exchange.Search.Mdb.ni.dll, и были защищены обфускатором ConfuserEx. ESET обнаружила инструментарий при анализе сервера в Казахстане, после донастройки детектов нашла того же злоумышленника в Румынии. Механизм первоначального доступа к серверам исследователи не установили.
