Des chercheurs d’ESET ont identifié un outil malveillant, baptisé Cereal, utilisé par le groupe Turla, associé à la Russie. Ce logiciel permet d’espionner les serveurs Microsoft Exchange de plusieurs organismes gouvernementaux, notamment au Kazakhstan et en Roumanie, en interceptant les courriels avant qu’ils n’atteignent leurs destinataires.

Ce qui rend cette attaque particulièrement insidieuse, c’est son mode opératoire. L’ensemble d’outils ne nécessite pas de serveur contrôlé par l’attaquant ; les opérateurs envoient simplement des commandes à partir de l’extérieur, en se faisant passer pour un trafic standard d’Outlook Web Access ou d’Autodiscover. Pour quiconque observe le réseau, tout ressemble à des utilisateurs consultant leurs messages.

Matías Porolli, chercheur chez ESET, explique ce mécanisme : « Sur un serveur Exchange compromis, l’activité la plus intéressante n’est pas toujours le message qui arrive dans la boîte de réception d’un utilisateur. Quelque part dans un bureau gouvernemental national, un fonctionnaire envoie un courriel à un collègue d’une alliance militaire transnationale. Le message part via un serveur Microsoft Exchange, exactement comme il devrait, et rien ne semble suspect. Mais avant que l’e-mail ne quitte le bâtiment, un morceau de code examine discrètement le contenu, décide qu’il est pertinent, et met de côté une copie à transférer aux observateurs, pendant que le courriel original continue son chemin. »

L’intrusion se fait par imitation de trafic

Le cœur de l’opération repose sur CerealNeuron, le backdoor principal, installé sur le serveur Exchange. Celui-ci écoute les requêtes web sur des chemins qui imitent le trafic normal d’Exchange, comme /owa/sdds/ ou /autodiscover/proxyservice/. Lorsqu’une requête correctement chiffrée et validée passe les contrôles d’intégrité, elle est déchiffrée et exécutée comme une commande. ESET n’a pas pu identifier les adresses IP depuis lesquelles les opérateurs se connectaient ; en substance, la victime héberge le serveur de commande de l’attaquant.

Chaque commande arrive sous la forme d’un petit programme compilé en .NET, conçu pour une tâche unique : récupérer des boîtes aux lettres, interroger Active Directory, extraire des secrets LSA (des identifiants stockés localement par Windows) ou lire et supprimer des fichiers. La répétition des binaires quasi identiques suggère l’usage d’un cadre de travail qui génère ces commandes automatiquement. En cas de défaillance du réseau, un second backdoor, CerealHermit, assure une sécurité en lisant les fichiers de commande chiffrés directement depuis le disque.

Injections invisibles dans le flux de messagerie

Contrairement aux méthodes habituelles d’abus des agents de transport d’Exchange, CerealBox contourne cette approche. Au lieu d’apparaître comme un agent enregistré, il s’injecte directement dans le processus EdgeTransport.exe, celui qui gère le mouvement des courriels, et enveloppe les gestionnaires des agents déjà chargés en mémoire. Les courriels continuent leur flux normal, et aucun nouvel agent n’apparaît dans la configuration du système.

CerealBox est programmé pour retenir les messages contenant des pièces jointes aux formats .doc, .docx, ou .pdf, si ces messages correspondent à des listes codées en dur de correspondants, de destinataires ou de sujets. Une fois sélectionnés, ces données sont compressées, chiffrées et mises en attente sur le disque pour une collecte ultérieure par les opérateurs. ESET souligne que cette technique d’hameçonnage du service de transport depuis l’intérieur n’avait jamais été documentée pour aucune famille de malwares auparavant.

Le programme d’amorçage (loader) de Cereal est le seul composant écrit sur le disque sous un fichier .NET identifiable. Il utilise du code natif avant même que le runtime .NET ne commence ses instructions normales, ce qui masque sa nature lors d’une analyse du code .NET. Dans une des chaînes d’attaque observées, il s’est fait passer pour ncobjapi.dll dans le répertoire C:\Windows\System32\wbem, étant chargé automatiquement par le service Windows Management Instrumentation. Les opérateurs ont également déposé des copies dans le cache d’images natives .NET, sous des noms comme Microsoft.Exchange.Search.Mdb.ni.dll. Exchange charge alors le fichier malveillant avant de revenir à la bibliothèque réelle.

Sources

• Turla’s Cereal malware turns victims’ Exchange servers into spy hubs, Help Net Security, 10 novembre 2026
• Turla hackers use new Cereal malware to spy on govt Exchange servers, BleepingComputer, 10 novembre 2026
• Russian Turla group used new toolset to silently pilfer emails from Kazakhstan, Romanian governments, CyberScoop, 10 novembre 2026