ESET Research vond op Exchange-servers van overheden in Kazachstan en Roemenië een nieuwe spionagetoolset, die het toeschrijft aan de Russische groep Turla. In Roemenië verzamelde die mails van en naar de NAVO en de EU.
De toolset heet Cereal en is ontworpen voor Microsoft Exchange-servers. Ze ontvangt opdrachten en voert die uit in het geheugen, brengt de getroffen organisatie in kaart en verzamelt geselecteerde mails. ESET zag eind 2025 dat twee nationale overheidsorganisaties met Cereal gecompromitteerd waren, één in Kazachstan en één in Roemenië.
ESET schrijft de toolset met veel vertrouwen toe aan Turla, ook bekend als Snake. De groep is minstens sinds 2004 actief en wordt beschouwd als een onderdeel van de Russische Federale Veiligheidsdienst (FSB). De naam Cereal verwijst naar serialisatie, een techniek om gegevens en code te verpakken voor transport, waar de tools sterk op steunen.
Exchange-server als commandocentrum
ESET vond bij Cereal geen externe infrastructuur voor commando en controle (C&C). Een passieve backdoor op de Exchange-server geeft de aanvallers toegang tot het interne netwerk, en de gecompromitteerde server doet zelf dienst als C&C-infrastructuur. Op de schijf laat de toolset nauwelijks sporen na. Ze verbergt zich in legitieme Exchange-processen.
In die processen wordt ook een geautomatiseerde module voor het verzamelen van mails geïnjecteerd. Die krijgt toegang tot de mailtransportpijplijn van Exchange en kan ze manipuleren. Matías Porolli, de onderzoeker van ESET die de toolset ontdekte, schetst hoe een ambtenaar een mail stuurt naar een collega bij een internationale militaire alliantie. “Maar voor de mail het gebouw verlaat, analyseert een stukje code het bericht, beoordeelt het als interessant en maakt er een kopie van die dan naar onbevoegden wordt doorgesluisd, terwijl de oorspronkelijke mail gewoon zijn weg vervolgt.”
De payloads blijven versleuteld, de code draait waar mogelijk in het geheugen en opdrachten komen binnen als afzonderlijke stukken .NET-code. Cereal gebruikt daarbij .NET-trucs zoals unmanaged entry points en misbruikt de native image cache van .NET. Volgens ESET is de toolset daardoor behoorlijk geavanceerd in vergelijking met de meeste recente APT-gevallen die het onderzocht. “Wat deze toolset bijzonder maakt, is de combinatie van vernieuwende technieken die een grondige kennis van de interne werking van Exchange vragen, samen met ongebruikelijke .NET-uitvoeringsmethoden”, zegt Porolli.
Doelwitten van Turla
In Roemenië was het onderdeel CerealBox zo ingesteld dat het berichten verzamelde die te maken hadden met mailadressen van NAVO- en EU-instellingen. Volgens ESET sluit dat aan bij oudere prioriteiten van de Russische inlichtingendiensten en kan het verband houden met regionale spanningen. Sinds begin 2025 meldde Roemenië meerdere incidenten met Russische drones die in de buurt van of op Roemeens grondgebied neerstortten. Dat leidde tot felle reacties van de Roemeense autoriteiten en vragen naar een NAVO-missie in de regio van de Zwarte Zee.
In Kazachstan begon de overheid in januari 2026 met het terugsturen van bepaalde Russische ballingen en regimecritici, die er na de Russische invasie van Oekraïne een veilige haven hadden gevonden. ESET ziet daarin de politieke context voor de inbraak daar.
Volgens telemetrie van ESET behoort zo’n 70 procent van de landen die Turla sinds 2022 aanviel tot de vroegere Sovjetrepublieken of tot Europese landen die nauwe banden hadden met de Sovjet-Unie. Hoe de aanvallers op de Exchange-servers van de twee overheden binnenkwamen, maakt ESET niet bekend.