Nhóm hacker Turla của Nga sử dụng malware Cereal mới để đánh cắp email từ máy chủ Exchange của chính phủ

Nhóm hacker Turla (còn gọi là Snake), được chính phủ Nga hậu thuẫn, đang sử dụng một bộ công cụ gián điệp mạng mới chưa từng được ghi nhận có tên Cereal. Mục tiêu của Cereal là xâm nhập các máy chủ Microsoft Exchange của nạn nhân để bí mật thu thập email.

Theo báo cáo của ESET, một công ty an ninh mạng từ Slovakia, bộ công cụ này được thiết kế tinh vi và có tính mô-đun cao, phục vụ mục đích thu thập thông tin tình báo lâu dài. Cereal đã được phát hiện tấn công hai tổ chức chính phủ ở Kazakhstan và Romania vào cuối năm 2025.

ESET nhận định: “Bộ công cụ Cereal là một công cụ được xây dựng cẩn thận để thực hiện gián điệp mạng một cách lén lút và lâu dài. Nó để lại rất ít dấu vết trên ổ đĩa, tránh sử dụng hạ tầng bên ngoài có thể bị phát hiện và chặn, đồng thời ẩn mình trong các tiến trình Exchange hợp pháp.”

“Bộ công cụ Cereal cho thấy đối với Turla, máy chủ Exchange không chỉ là máy chủ thư điện tử – chúng còn là các điểm thu thập bền vững, trung tâm thực thi nội bộ và môi trường phù hợp để ẩn giấu các kỹ thuật tấn công .NET tinh vi.”

Bộ công cụ này bao gồm nhiều thành phần liên kết với nhau, có khả năng chạy trên máy chủ Microsoft Exchange, nhận lệnh, thực thi chúng trong bộ nhớ, lập bản đồ mạng bị nhiễm và thu thập các email quan trọng. Hiện tại, phương thức lây nhiễm ban đầu để đưa malware này vào hệ thống vẫn chưa được xác định, mặc dù Turla nổi tiếng với các cuộc tấn công spear-phishing, watering hole và tấn công Adversary-in-the-Middle (AitM) ở cấp độ ISP.

Cereal được đặt tên theo việc các công cụ này sử dụng rộng rãi kỹ thuật serialization, tức là quá trình chuyển đổi cấu trúc dữ liệu hoặc trạng thái của một đối tượng thành một định dạng có thể dễ dàng lưu trữ, truyền tải và tái tạo.

Một số điểm nổi bật khiến malware này khác biệt:

Không có hạ tầng command-and-control (C2) bên ngoài, thay vào đó lạm dụng một máy chủ Exchange đã bị xâm nhập cho mục đích này.
Gửi các lệnh dưới dạng các chương trình .NET đã được biên dịch riêng biệt.
Sử dụng một mô-đun thu thập email tự động, được tiêm vào các tiến trình Microsoft Exchange hợp pháp và được thiết kế để thao túng quy trình vận chuyển email.

ESET cho biết, sự kết hợp của các kỹ thuật này cho thấy nhóm hacker có sự hiểu biết sâu sắc về hoạt động nội bộ của Microsoft Exchange. Framework Cereal bao gồm tám thành phần chính hoạt động cùng nhau để cung cấp cho kẻ tấn công quyền truy cập vào dữ liệu email nhạy cảm:

CerealRunner: Được triển khai bởi kẻ tấn công và đóng vai trò là đường dẫn để thả các thành phần bổ sung, bao gồm CerealLoader, CerealSprinter, CerealIron và CerealMoth.
CerealLoader: Tải và chạy một assembly .NET từ một tệp được mã hóa trên ổ đĩa, dẫn đến việc thực thi CerealSprinter.
CerealSprinter: Hoạt động tương tự như CerealRunner và được sử dụng để giải mã và chạy CerealNeuron, CerealHermit và CerealBox.
CerealIron: Một injector cho phép tải và chạy các assembly .NET từ các tiến trình không phải .NET.
CerealMoth: Nhận một assembly và tên phương thức làm đầu vào, tải assembly và chạy phương thức được chỉ định.
CerealNeuron: Một backdoor thụ động chạy trên máy chủ Exchange bị xâm nhập và lắng nghe các yêu cầu web đến trên các đường dẫn trông giống như lưu lượng Exchange thông thường để thực thi các assembly có trong các binary của CerealRunner.
CerealHermit: Một biến thể của CerealNeuron đọc lệnh từ các tệp được mã hóa trên ổ đĩa và không có chức năng mạng riêng.
CerealBox: Mô-đun thu thập email xử lý, lọc và thu thập các tin nhắn email bằng cách tiêm chính nó vào dịch vụ vận chuyển Exchange (“EdgeTransport.exe”).

Sau khi có quyền truy cập vào luồng email, malware sẽ tìm kiếm các tin nhắn chứa tệp đính kèm DOC, DOCX hoặc PDF, và khớp ít nhất một trong nhiều danh sách địa chỉ người gửi, địa chỉ người nhận, dòng tiêu đề hoặc tên tệp đính kèm được mã hóa cứng.

Các email đáp ứng tiêu chí lọc sẽ được nén, mã hóa và lưu trữ tạm thời trong các tệp trên ổ đĩa, sau đó được trích xuất và xóa thông qua các lệnh của CerealNeuron.

Trong cuộc tấn công nhắm vào một tổ chức chính phủ Romania, CerealBox được cho là đã được cấu hình để thu thập các email liên quan đến các địa chỉ tổ chức của NATO và Liên minh Châu Âu, một mô hình phù hợp với các ưu tiên chiến lược của Nga.

Các lệnh được gửi dưới dạng các chương trình .NET đã biên dịch được xử lý bởi CerealRunner, giải nén và thực thi các payload trong bộ nhớ, sau đó gửi kết quả trở lại CerealNeuron để trích xuất tiếp đến kẻ tấn công dưới dạng mã hóa.

Các lệnh này hỗ trợ truy xuất hộp thư hoặc các tin nhắn cụ thể; truy vấn Active Directory cho máy tính, người dùng, nhóm và bản ghi DNS; chạy các truy vấn Windows Management Instrumentation (WMI); trích xuất LSA Secrets; liệt kê các bản sao lưu volume; và thực hiện các thao tác tệp.

Nhà nghiên cứu Matías Porolli của ESET cho biết: “Số lượng lớn các binary gần như giống hệt nhau, mỗi binary được biên dịch cho một tác vụ cụ thể, cho thấy rõ ràng rằng các kẻ tấn công có một framework nội bộ tự động hóa việc biên dịch và đóng gói các lệnh.”

“Kết hợp với một codebase được xây dựng xung quanh các thành phần mô-đun, có thể hoán đổi cho nhau, ấn tượng là một nền tảng trưởng thành, được thiết kế tốt – hơn là một tập hợp các script rời rạc.”

Nguồn tham khảo: The Hacker News