ESET slaat alarm over onzichtbare Russische spionagesoftware Cereal
De aan Rusland gelieerde spionagegroep Turla maakt gebruik van een nieuwe, geavanceerde toolset om Microsoft Exchange-servers van overheidsinstellingen te infiltreren en e-mailverkeer met de NAVO en de EU te onderscheppen. Dat blijkt uit onderzoek van cybersecuritybedrijf ESET.
De nieuw ontdekte toolset, die door de onderzoekers 'Cereal' is genoemd, werd eind 2025 aangetroffen bij overheidsorganisaties in Roemenië en Kazachstan. In de Roemeense zaak was de software specifiek geconfigureerd om berichten te identificeren en opzij te zetten die afkomstig waren van of gericht waren aan NAVO- en EU-instellingen. Volgens ESET sluit deze focus direct aan bij de prioriteiten van de Russische inlichtingendiensten en de oplopende regionale spanningen rond het Zwarte Zeegebied.
Turla, dat ook bekendstaat onder de naam Snake, is al sinds 2004 actief en wordt door experts algemeen beschouwd als onderdeel van de Russische Federale Veiligheidsdienst FSB. De Cereal-toolset is ontworpen voor langdurige, onopvallende cyberspionage binnen gecompromitteerde netwerken. De software verbergt zich binnen legitieme Microsoft Exchange-processen en laat vrijwel geen sporen achter op de harde schijf.
Opvallend aan de aanvalsketen is het het ontbreken van externe serverinfrastructuur. In plaats van te communiceren met een externe besturingsserver, misbruikt de spionagesoftware de gecompromitteerde Exchange-server van het slachtoffer zelf om commando's uit te voeren. Een geautomatiseerde module haalt de code direct uit de e-mailtransportpijplijn, waardoor verdacht e-mailverkeer nauwelijks opvalt voor traditionele beveiligingssystemen.
Volgens ESET-onderzoeker Matías Porolli toont de Cereal-toolset een grondige kennis van de interne werking van Microsoft Exchange. Door het slimme gebruik van geavanceerde .NET-technieken en geheugenuitvoering kunnen aanvallers berichten ongemerkt kopiëren en doorsturen, terwijl het originele e-mailbericht gewoon naar de geadresseerde wordt verzonden. ESET schrijft de ontdekking met een hoge mate van zekerheid toe aan Turla, een groep waarvan de aanvallen zich historisch gezien voornamelijk richten op voormalige Sovjetrepublieken en Europese landen.
