• ESET Research ontdekte een nieuwe, modulaire en nauw met elkaar verweven toolset , ontworpen om voor langdurige cyberspionage op Exchange-servers van gecompromitteerde organisaties te draaien.
• Turla, de aan Rusland gelinkte APT-groep, zit achter deze toolset en er wordt aangenomen dat die gelinkt is aan de Russische FSB (Federale Veiligheidsdienst).
• ESET vond de Exchange-tool bij één overheidsorganisatie in Kazachstan en één in Roemenië, waar mails voor de NAVO en de EU verzameld werden.
BRATISLAVA, MONTREAL, 10 november 2026 — ESET Research ontdekte een nieuwe toolset, die Cereal werd genoemd. De set beschikt over een vernieuwde Exchange-module voor het verzamelen van mails, een uniek commando- en controlemechanisme (C&C) en geavanceerde .NET-uitvoeringstrucs. Ze werd ontworpen voor Microsoft Exchange-servers en ontvangt opdrachten en voert ze uit in het geheugen. Bovendien brengt ze de getroffen organisatie in kaart en verzamelt ze geselecteerde mailberichten. ESET identificeerde twee slachtoffers, één overheidsorganisatie in Kazachstan en één in Roemenië, waar Cereal geconfigureerd was om mails te identificeren die werden verzonden naar of ontvangen door de NAVO en de EU. ESET Research schrijft Cereal met veel vertrouwen toe aan Turla, de aan Rusland gelinkte APT-groep.
De Cereal-toolset is zorgvuldig ontwikkeld voor langdurige, heimelijke cyberspionage. Op de schijf laat deze nauwelijks sporen na, vermijdt ze externe infrastructuur die kan ontdekt en geblokkeerd worden, en verbergt zich binnen legitieme Exchange-processen.
Eind 2025 zag ESET dat twee nationale overheidsorganisaties door Cereal gecompromitteerd waren. Deze organisaties bevinden zich in regio’s die nauw aansluiten bij de doelwitten waarop Turla zich richt. Volgens de ESET-telemetrie behoort zo’n 70% van de landen die sinds 2022 door Turla aangevallen zijn, tot vroegere Sovjetrepublieken of Europese landen die nauwe banden hadden met de Sovjet-Unie. Turla, ook als Snake bekend, is al ten minste sinds 2004 actief en wordt beschouwd als een onderdeel van de Russische FSB.
Het Roemeense geval is opmerkelijk omdat één onderdeel, CerealBox, zo geconfigureerd was dat het berichten verzamelde met betrekking tot mailadressen van instellingen van de NAVO en de EU. Dit sluit aan bij oudere prioriteiten van de Russische inlichtingendiensten. Het kan ook verband hebben met regionale spanningen: sinds begin 2025 melde Roemenië diverse incidenten waarbij Russische drones in de buurt van of op Roemeens grondgebied zijn neergestort, wat leidde tot felle reacties van de autoriteiten en vragen naar een NAVO-missie in de Zwarte Zee-regio. Ook het compromitteren van systemen in Kazachstan had een relevante politieke context. In januari 2026 begon Kazachstan met het terugsturen van bepaalde Russische ballingen en critici van het regime, die er een veilige haven hadden gevonden na de Russische invasie van Oekraïne.
“Op een gecompromitteerde Exchange-server is de meest interessante activiteit niet altijd wat in de inbox van een gebruiker belandt. Een ambtenaar bij een nationale overheidsinstantie stuurt een mail naar een collega bij een internationale militaire alliantie. Het bericht is via een Microsoft Exchange-server verzonden, zoals het hoort, en er is niets verdachts aan te merken. Maar voor de mail het gebouw verlaat, analyseert een stukje code het bericht, beoordeelt het als interessant en maakt er een kopie van die dan naar onbevoegden wordt doorgesluisd, terwijl de oorspronkelijke mail gewoon zijn weg vervolgt,” zegt Matías Porolli, de ESET-researcher die de nieuwe Turla-dreiging ontdekte.
“Omdat de tools sterk aanleunen bij serialisatie, een techniek voor het verpakken van gegevens en code voor hun transport, hebben we ze namen gegeven die beginnen met het voorvoegsel Cereal. “Wat deze toolset bijzonder maakt, is de combinatie van vernieuwende technieken die een grondige kennis van de interne werking van Exchange vragen, samen met ongebruikelijke .NET-uitvoeringsmethoden”, verduidelijkt Porolli.
Bij de reconstructie van de aanvalsketen vond men een modulaire toolset, gebaseerd op tal van terugkerende ontwerpprincipes: payloads versleuteld houden, waar mogelijk uitvoering in het geheugen laten plaatshebben, de gecompromitteerde Exchange-server hergebruiken en opdrachten aanleveren als afzonderlijke .NETregels. Een van de meest opvallende kenmerken van dit soort toolsets heeft ESET geenexterne C&C-infrastructuur gevonden. De situatie van het slachtoffer wordt zoverergerd, daar de gecompromitteerde Exchange-server zelf als C&C-infrastructuur wordt ingezet.
Het gebruik van diverse .NET-trucs, zoals ‘unmanaged entry points’, en het misbruik van de .NET ‘native image cache’ maken de toolset behoorlijk geavanceerd vergeleken met de meeste recente APT-gevallen die ESET onderzocht.
Voor meer technische details over de nieuwste toolset van Turla, kan u de blogpost en het witboek “Exchange for breakfast: Turla’s Cereal tricks are not for kids,” van ESET Research op www.WeLiveSecurity.com raadplegen.
Volg ESET Research op X, BlueSky, en Mastodon voor de nieuwste info over de ESET Research.
Over ESET
ESET beschermt organisaties, kritieke infrastructuur en consumenten en helpt hen digitale weerbaarheid en vertrouwen op te bouwen in een steeds meer door AI gedreven wereld. Met meer dan 35 jaar expertise in cybersecurity, meer dan 25 jaar in innovatie op het gebied van AI en 11 wereldwijde R&D-centra ontwikkelt ESET eigen technologieën om bescherming te bieden tegen steeds veranderende cyberdreigingen en om het bredere AI-ecosysteem te beveiligen. Gebaseerd op wetenschappelijke precisie en een proactieve benadering van beveiliging, biedt ESET moeiteloze bescherming die onder deskundig toezicht blijft. Met hoofdzetel in de Europese Unie en in privé bezit, beschermt ESET miljoenen gebruikers en meer dan 500.000 organisaties in 178 landen. ESET zet zich in voor verantwoorde AI en klantvertrouwen en beschermt de vooruitgang die technologie mogelijk maakt. Ga voor meer informatie naar www.eset.com of www.eset.com/be-nl en volg ESET op sociale media, podcasts en blogs.
Meer lezen
