Turla, Exchange sunucularında yeni Cereal kötü amaçlı yazılımıyla devlet e-postalarını topluyor

Rusya bağlantılı Turla grubu, Microsoft Exchange sunucularına yerleştirdiği Cereal adlı araç seti ile hükümet kurumlarının e-postalarını sessizce topluyor; ESET'in tespitine göre dış komuta sunucusu kullanılmadan çalışıyor.

Rusya devletiyle bağlantılı olduğu belirtilen Turla grubunun, daha önce belgelenmemiş Cereal adlı bir araç setini Microsoft Exchange sunucularına karşı kullandığı ve bu yolla e-postaları sessizce topladığı ESET tarafından bildirildi. Yazılım ilk olarak bir Kazak devlet kurumunda, ardından 23 Aralık 2025'te ele geçirilen bir Romen devlet kuruluşunda görüldü. Romanya'daki saldırıda, e-posta toplama modülünün NATO ve Avrupa Birliği kurumlarına ait adreslerle ilgili mesajları yakalamak üzere yapılandırıldığı belirlendi.

Cereal'in dikkat çeken yanı, dış altyapıya ihtiyaç duymaması. Komuta ve kontrol sunucusu bulunmadığı için ele geçirilen Exchange sunucusu tek kontrol noktası olarak çalışıyor; bu da yaygın ağ izleme yöntemleriyle fark edilmesini zorlaştırıyor. Bileşenler meşru Exchange süreçlerinin içinde bellekte çalışıyor ve DOC, DOCX ya da PDF eki taşıyan mesajları süzerek dışarı aktarılmak üzere hazırlıyor.

Exchange kullanan ekipler için olay, posta sunucularının uzun süreli casusluk faaliyetlerinde veri toplama ve çalıştırma noktası olarak kullanılabileceğini hatırlatıyor.