El grupo de hackers Turla, respaldado por el Estado ruso y vinculado al Servicio Federal de Seguridad (FSB), utiliza un nuevo conjunto de herramientas maliciosas llamado «Cereal» para interceptar correos electrónicos en servidores Microsoft Exchange de organizaciones gubernamentales, según documentó ESET.
La investigación de ESET detalla ataques a finales de 2025: el malware modular, basado en .NET, apareció primero en un organismo gubernamental de Kazajistán y, un mes después, en una agencia gubernamental de Rumania, donde recopiló de forma selectiva correspondencia con representantes de la OTAN y la Unión Europea. En el caso rumano, la intrusión comenzó el 23 de diciembre de 2025.
El componente central, CerealBox, se inyecta en el proceso EdgeTransport.exe de Exchange y secuestra los controladores (handlers) de los agentes de transporte ya existentes: ejecuta comandos en memoria e inspecciona el contenido de los correos sin registrar un agente de transporte nuevo y sin interrumpir la entrega de mensajes. Cereal recopila de forma selectiva los mensajes con archivos adjuntos .DOC, .DOCX y .PDF que cumplen criterios de remitente, destinatario y asunto.
CerealNeuron espera solicitudes web cifradas entrantes en rutas que imitan servicios legítimos de Exchange; las descifra y ejecuta CerealRunner, que transporta el código del atacante. Entre los comandos disponibles están recuperar correos de Exchange, consultar Active Directory para obtener usuarios, grupos y registros DNS, extraer credenciales almacenadas localmente y leer o eliminar archivos. CerealRunner ejecuta programas .NET cifrados y sus argumentos en memoria y devuelve la salida a CerealNeuron, que la cifra y la envía de vuelta.
No hay infraestructura externa de comando y control (C2): el propio servidor Exchange comprometido es el único punto de control. La variante CerealHermit, que no usa la red y lee los comandos de archivos cifrados en el disco, funciona como opción de respaldo. Según ESET, la existencia de binarios casi idénticos compilados para cada tarea apunta a un framework interno que automatiza la compilación y el empaquetado del malware. Cereal también abusa de la caché de imágenes nativas de .NET para ejecutarse dentro de procesos legítimos, con una huella pequeña en disco: una plataforma pensada para el ciberespionaje sigiloso a largo plazo. ESET compartió indicadores de compromiso (IoC) en GitHub.
Turla, también conocido como Snake, Secret Blizzard o Waterbug, lleva más de 20 años activo y se le atribuyen ataques de alto perfil contra gobiernos occidentales.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx. Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: BleepingComputer