Turla sử dụng Cereal để tấn công Exchange Server chính phủ
"The Russia-aligned Turla hacking group is utilizing a new cyber espionage toolset named Cereal to compromise Microsoft Exchange servers and steal emails. The malware operates stealthily within Exchange processes, avoiding external C2 infrastructure and leveraging serialization techniques. Targeted organizations in Kazakhstan and Romania were observed, with a focus on collecting emails related to NATO and EU institutions."
Sự xuất hiện của Cereal cho thấy một mối đe dọa gián điệp mạng tinh vi, có khả năng gây tổn hại nghiêm trọng cho các tổ chức chính phủ và doanh nghiệp.
Các doanh nghiệp sử dụng Microsoft Exchange Server cần đặc biệt chú ý đến bản vá bảo mật và giám sát lưu lượng mạng để phát hiện và ngăn chặn các cuộc tấn công tương tự.
Nhóm tin tặc Turla, liên kết với Nga, đang sử dụng một bộ công cụ gián điệp mạng mới có tên Cereal để xâm nhập máy chủ Microsoft Exchange và đánh cắp email. ESET báo cáo về công cụ này vào tháng 11 năm 2026.
Turla nhắm mục tiêu các tổ chức chính phủ ở Kazakhstan và Romania vào cuối năm 2025, tập trung vào việc thu thập email liên quan đến NATO và EU. Cereal được thiết kế để thu thập thông tin tình báo lâu dài một cách bí mật, tránh cơ sở hạ tầng C2 bên ngoài và ẩn mình trong các quy trình Exchange hợp pháp.
Cereal không sử dụng cơ sở hạ tầng command-and-control (C2) bên ngoài mà lợi dụng máy chủ Exchange bị xâm nhập. Nó gửi lệnh dưới dạng các chương trình .NET đã biên dịch và sử dụng mô-đun thu thập email tự động, chèn vào các quy trình Microsoft Exchange hợp pháp để thao tác đường dẫn vận chuyển email. Serialization được sử dụng để chuyển đổi dữ liệu.
Bộ công cụ bao gồm các thành phần như CerealRunner, CerealLoader, CerealSprinter, CerealIron, CerealMoth, CerealNeuron, CerealHermit và CerealBox. CerealBox thu thập email chứa tệp DOC, DOCX hoặc PDF, khớp với danh sách địa chỉ người gửi/người nhận, chủ đề hoặc tên tệp đính kèm. Email phù hợp được nén, mã hóa, lưu trữ trên đĩa và sau đó được lấy cắp thông qua CerealNeuron.
Trong vụ tấn công nhắm vào tổ chức chính phủ Romania, CerealBox được cấu hình để thu thập email liên quan đến các địa chỉ thể chế của NATO và Liên minh Châu Âu. Các lệnh được gửi dưới dạng chương trình .NET đã biên dịch, được CerealRunner giải nén và thực thi trong bộ nhớ, sau đó gửi kết quả trở lại CerealNeuron để lấy cắp dữ liệu được mã hóa.
Câu hỏi thường gặp
Cereal là gì?
Cereal là một bộ công cụ gián điệp mạng mới do nhóm tin tặc Turla sử dụng để xâm nhập máy chủ Microsoft Exchange và đánh cắp email.
Turla nhắm mục tiêu vào những tổ chức nào?
Turla đã nhắm mục tiêu vào các tổ chức chính phủ ở Kazakhstan và Romania vào cuối năm 2025.
Cereal hoạt động như thế nào?
Cereal sử dụng các kỹ thuật như serialization và chèn vào các quy trình Exchange hợp pháp để thu thập email một cách bí mật, tránh cơ sở hạ tầng C2 bên ngoài.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Turla sử dụng Cereal cho thấy sự tập trung vào việc khai thác các máy chủ Exchange như một điểm thu thập thông tin lâu dài. Các doanh nghiệp Việt Nam sử dụng Exchange Server cần kiểm tra kỹ nhật ký và cập nhật bản vá bảo mật mới nhất. Điều đáng chú ý là khả năng Cereal hoạt động mà không cần cơ sở hạ tầng C2 bên ngoài khiến việc phát hiện trở nên khó khăn hơn.