ESET hat neue Schadsoftware auf Exchange-Servern von Behörden in Rumänien und Kasachstan entdeckt. Sie nutzt den kompromittierten Server als Steuerzentrale.
Cyberspionage
Turla: Malware Cereal fängt Mails zu NATO und EU ab
Bildquelle: Karolis Kavolelis/Shutterstock.com
Die russische Spionagegruppe Turla hat Exchange-Server von Regierungsorganisationen in Rumänien und Kasachstan mit einer bislang unbekannten Schadsoftware kompromittiert. Das hat das slowakische Sicherheitsunternehmen ESET berichtet. Die Werkzeugsammlung mit dem Namen Cereal fängt gezielt E-Mails ab und sichert den dauerhaften Zugang zu den Servern. ESET ordnet sie mit hoher Sicherheit Turla zu, einer Gruppe, die nach verbreiteter Einschätzung zum russischen Inlandsgeheimdienst FSB gehört.
Entdeckt hat ESET Cereal erstmals am 28. November 2025 bei einer Regierungsorganisation in Kasachstan. Nach verbesserten Erkennungsregeln fand das Unternehmen dieselbe Software bei einer Regierungsorganisation in Rumänien, die am 23. Dezember 2025 kompromittiert worden war.
Kopien vor dem Versand
In Rumänien war Cereal so konfiguriert, dass es Nachrichten mit Adressen der NATO und von EU-Institutionen erfasste, etwa mit den Domains nato.int und europa.eu. Ein Bestandteil namens CerealBox ist direkt in einen Exchange-Dienst eingebettet, der den E-Mail-Verkehr verarbeitet. Er prüft Nachrichten, bevor sie den Server verlassen, legt Kopien interessanter E-Mails ab, vor allem solche mit Anhängen im Format DOC, DOCX oder PDF, und leitet das Original unverändert weiter. Die Werkzeugsammlung besteht aus acht Teilen.
Server als eigene Steuerzentrale
Statt eigene Server zur Steuerung zu nutzen, gaben die Angreifer ihre Befehle über die Webdienste des kompromittierten Exchange-Servers selbst. Damit fehlt externe Infrastruktur, die Sicherheitsforscher erkennen, blockieren oder abschalten könnten. ESET bezeichnet Cereal als „ein sorgfältig konstruiertes Instrument für langfristige, verdeckte Cyberspionage“. Prüfungen, die nur nach neu registrierten Transport-Agenten oder ausgehenden Verbindungen suchen, würden zentrale Teile übersehen, da die Sammelfunktion in bestehenden Agenten arbeitet.
Wie die Angreifer ursprünglich in die Server gelangten und wie viele Daten sie abgezogen haben, ist nicht bekannt. Die Exchange-Server waren aus dem Internet erreichbar, die Ausnutzung einer Sicherheitslücke ist laut ESET aber nur eine Möglichkeit.
Regionale Spannungen
Laut ESET richteten sich seit 2022 rund 70 Prozent der Angriffe von Turla gegen frühere Sowjetrepubliken oder europäische Staaten, die früher eng mit der Sowjetunion verbunden waren. Die Spionage in Rumänien könnte mit den Spannungen in der Region zusammenhängen. Das Land hatte nach wiederholten Vorfällen mit russischen Drohnen in seinem Luftraum eine stärkere Präsenz der NATO gefordert. Auch in Deutschland betreiben viele Behörden und Unternehmen Exchange auf eigenen Servern. ESET hat Indikatoren zur Erkennung von Cereal veröffentlicht.
(red)
