Mit dem russischen Staat verbundene Hacker nutzten ein bislang undokumentiertes Malware-Toolkit, um staatliche Microsoft-Exchange-Server in Rumänien und Kasachstan zu infiltrieren. Dabei fingen sie ausgewählte E-Mail-Kommunikation ab, während die normale Mailzustellung intakt blieb.
Forscher von ESET identifizierten die Malware namens Cereal in beiden Ländern. In Rumänien war das Toolkit so konfiguriert, dass es Korrespondenz mit NATO- und Institutionen der Europäischen Union sammelte – ein potenzieller Kanal für sensible diplomatische und staatliche Kommunikation.
Die in ESETs Recherche vom 10. November dargelegten Ergebnisse beschreiben eine ausgeklügelte Cyberespionage-Operation, die sich in legitimen Exchange-Prozessen verbirgt, Befehle im Arbeitsspeicher ausführt und kompromittierte Server zur Befehls- und Kontrollkommunikation nutzt.
Wie die Cereal-Malware Microsoft-Exchange-E-Mails abfängt
Cereal ist ein modulares Toolkit aus acht miteinander verbundenen Komponenten, die jeweils für einen anderen Teil des Angriffs zuständig sind.
ESET schreibt die Malware mit hoher Zuversicht Turla zu, auch bekannt als Snake oder Secret Blizzard – einer Cyberespionage-Gruppe, die weithin mit dem russischen Inlandsgeheimdienst (FSB) in Verbindung gebracht wird.
Die Gruppe nimmt seit mehr als zwei Jahrzehnten Regierungen und diplomatische Organisationen ins Visier. Frühere Untersuchungen deckten außerdem eine Zusammenarbeit zwischen Turla und Gamaredon auf, einer weiteren mit dem russischen Staat verbundenen Hackeroperation.
Die markanteste Komponente von Cereal ist CerealBox, die innerhalb des E-Mail-Transportdienstes von Microsoft Exchange arbeitet.
Gewöhnliche Exchange-Transport-Agents übernehmen Aufgaben wie Spamfilterung und Mailverarbeitung. Administratoren können registrierte Agents über die Exchange-Konfiguration überprüfen.
CerealBox schleust sich stattdessen in den legitimen Prozess EdgeTransport.exe ein und kapert Handler von Agents, die bereits im Arbeitsspeicher ausgeführt werden.
Die Malware fängt ausgewählte Nachrichten ab, ohne einen neuen Transport-Agent zu registrieren, sodass die Agent-Konfiguration von Exchange unverändert bleibt.
Welche Informationen sammelt CerealBox?
Die Malware sucht nach Nachrichten mit bestimmten Dokumentanhängen:
- Microsoft-Word-Dateien (.doc und .docx).
- PDF-Dokumente (.pdf).
Die Nachrichten müssen außerdem mindestens ein konfiguriertes Kriterium erfüllen, darunter Absender- oder Empfängeradressen, Betrefftext oder Dateinamen von Anhängen. Ausschlusslisten filtern unerwünschte Nachrichten heraus.
Passende E-Mails werden komprimiert, verschlüsselt und vorübergehend gespeichert, bevor die Angreifer sie abrufen und die bereitgestellten Dateien löschen.
Die E-Mail-Zustellung läuft normal weiter, wodurch die Wahrscheinlichkeit sinkt, dass Nutzer ungewöhnliche Aktivitäten bemerken.
Andere Angriffe zur Persistenz in Exchange haben über Outlook Web Access die Postfachberechtigungen manipuliert, um den unbefugten Zugriff aufrechtzuerhalten.
CerealBox verfolgt einen anderen Ansatz und fängt E-Mails direkt innerhalb des Exchange-Transportprozesses ab.
Laut ESET wurde diese Methode, bei der Handler vorhandener Transport-Agents gekapert werden, bislang bei keiner anderen Malware-Familie dokumentiert.
Turla macht kompromittierte Exchange-Server zu Kommandozentralen
Cereal vermeidet außerdem einen häufigen Hinweis auf Malware-Aktivität: wiederholte ausgehende Verbindungen zu von Angreifern kontrollierten Befehls- und Kontrollservern.
ESET fand keine dedizierte externe Befehlsinfrastruktur, die mit den beobachteten Eindringversuchen in Verbindung stand.
Stattdessen wartet eine Komponente namens CerealNeuron auf eingehende Anfragen auf dem kompromittierten Exchange-Server.
Die Anfragen gehen über Webpfade ein, die legitimen Microsoft-Exchange-Diensten ähneln, darunter Outlook Web Access, Autodiscover und ActiveSync.
Ein beobachteter Pfad war /owa/sdds/.
Wenn eine eingehende Anfrage die Verschlüsselungs- und Integritätsprüfungen der Malware besteht, entschlüsselt CerealNeuron ihren Inhalt und führt den übermittelten Befehl aus.
Anfragen, die die Validierung nicht bestehen, erhalten eine echt wirkende Exchange-Fehlermeldung.
Dadurch können sich schädliche Anfragen in den gewöhnlichen HTTPS-Datenverkehr einfügen.
Angreifer haben Befehlsdaten bereits zuvor über legitime Cloud-APIsverborgen. Cereal nutzt stattdessen den kompromittierten Exchange-Server selbst als Kontrollpunkt und schränkt damit die Wirksamkeit von Abwehrmaßnahmen ein, die auf bekannte schädliche Ziele ausgerichtet sind.
Acht Komponenten sichern den langfristigen Zugriff
ESET identifizierte mehrere spezialisierte Tools, die zusammenarbeiten:
- CerealLoader: Lädt verschlüsselte .NET-Assemblies und nutzt ungewöhnliche Ausführungstechniken, um einer Analyse zu entgehen.
- CerealRunner: Bündelt und führt Befehle aus, die als separate Programme übermittelt werden.
- CerealNeuron: Empfängt verschlüsselte Befehle über eingehende Webanfragen.
- CerealHermit: Führt in verschlüsselten Dateien gespeicherte Befehle aus, wenn kein netzwerkbasierter Zugriff verfügbar ist.
- CerealBox: Fängt ausgewählte E-Mail-Nachrichten ab und sammelt sie.
- CerealSprinter, CerealIron und CerealMoth: Unterstützen die Payload-Ausführung und die Einschleusung in legitime Prozesse.
Das Toolkit missbraucht außerdem Komponenten der Windows Management Instrumentation und den nativen .NET-Imagecache, um schädlichen Code innerhalb vertrauenswürdiger Prozesse auszuführen.
Die Angreifer tarnten Komponenten mit Dateinamen, die mit legitimen Windows-Bibliotheken verbunden sind, darunter ncobjapi.dll und wbemcomn.dll.
ESET identifizierte Befehle, die Active Directory abfragen, Postfächer abrufen, gespeicherte Zugangsdaten sammeln, laufende Prozesse überprüfen und auf Dateien zugreifen können.
Das modulare Design ermöglicht es den Betreibern, spezialisierte Befehle auszuführen, ohne eine große Backdoor zu unterhalten, die sämtliche Funktionen enthält.
Staatliche Organisationen in Rumänien und Kasachstan im Visier
ESET entdeckte Cereal erstmals am 28. November 2025 auf einem staatlichen Exchange-Server in Kasachstan.
Nachdem das Unternehmen seine Erkennungsmethoden verbessert hatte, identifizierte es dasselbe Toolkit bei einer rumänischen staatlichen Organisation, die am 23. Dezember 2025 kompromittiert worden war.
Die rumänische Installation war so konfiguriert, dass sie E-Mails identifizierte, die an institutionelle NATO- und EU-Adressen gesendet wurden oder von diesen eingingen.
Die Zielauswahl entspricht Turlas etablierten Aktivitäten zur Informationsbeschaffung in Europa und Zentralasien.
Die ESET-Telemetrie zeigt, dass etwa 70 % der seit 2022 von Turla ins Visier genommenen Länder ehemalige Sowjetrepubliken oder europäische Länder waren, die historisch mit der Sowjetunion verbündet waren.
Die Forscher beobachteten außerdem am 15. Januar 2026 eine erhöhte Aktivität auf dem kasachischen Server – unmittelbar nach dem in Russland und mehreren Nachbarländern begangenen Feiertag Altes Neujahr.
ESET konnte bislang nicht feststellen, wie die Angreifer zunächst Zugriff auf einen der beiden Server erlangten, wie weit die Kompromittierungen reichten oder wie viele Informationen insgesamt gestohlen wurden.
Die rumänische Konfiguration legt fest, welche Korrespondenz die Malware sammeln sollte; die Forscher ermittelten jedoch nicht, wie viele passende Nachrichten tatsächlich erbeutet wurden.
Was Exchange-Administratoren untersuchen sollten
Die Fähigkeit von Cereal, sich in legitimen Exchange-Prozessen zu verbergen, erschwert die Erkennung durch herkömmliche Antivirus-Warnungen und Netzwerk-Blocklisten.
Administratoren, die für aus dem Internet erreichbare Exchange-Server zuständig sind, sollten folgende Prüfungen priorisieren:
- Exchange-Prozesse überprüfen. Unerwartete Code-Injektionen oder unbekannte, von EdgeTransport.exe geladene Assemblies untersuchen.
- Verdächtige Webanfragen überprüfen. Protokolle auf ungewöhnlichen Datenverkehr zu den in ESETs Recherche identifizierten Exchange-Pfaden untersuchen, darunter
/owa/sdds/. - Systembibliotheken überprüfen. Verdächtige ncobjapi.dll- und wbemcomn.dll-Dateien mit vertrauenswürdigen Microsoft-Versionen vergleichen und unerwartete Dateien im nativen .NET-Imagecache untersuchen.
- Aktivitäten zur E-Mail-Sammlung untersuchen. Nach unerklärlichen verschlüsselten Archiven, temporären E-Mail-Dumps und unbefugtem Postfachzugriff suchen.
- Zugriffe auf Zugangsdaten und Verzeichnisse überprüfen. Ungewöhnliche Active-Directory-Abfragen, Zugriffe auf Zugangsdaten und die Ausführung unbekannter .NET-Assemblies untersuchen.
ESET hat Indicators of Compromise veröffentlicht, um die Bedrohungssuche zu unterstützen, darunter technische Details, mit denen Administratoren potenziell betroffene Systeme untersuchen können.
Sicherheitsteams sollten außerdem unterstützte Exchange-Versionen einsetzen, Sicherheitsupdates installieren, unnötige Erreichbarkeit aus dem Internet einschränken und ungewöhnliche administrative Aktivitäten untersuchen.
Die Forscher haben keine konkrete Exchange-Schwachstelle identifiziert, die für die anfänglichen Kompromittierungen verantwortlich war. Daher lässt sich allein durch das Einspielen von Patches nicht feststellen, ob ein betroffener Server sauber ist.
Die Abfangtechnik von Cereal erfordert außerdem, dass Verteidiger die Prozesse untersuchen, die E-Mails verarbeiten – nicht nur Benutzeranmeldungen oder ausgehende Netzwerkverbindungen.
Für Organisationen, die sensible Korrespondenz verwalten, ist die Untersuchung unerwarteten Verhaltens von Exchange-Prozessen und von Anzeichen für E-Mail-Sammlung entscheidend, um diese Form anhaltender Spionage zu erkennen.
Lesen Sie auch: Mit Russland verbundene Hacker nutzten kompromittierte Websites , um in einer weiteren, im November gemeldeten Spionagekampagne iPhones und Android-Geräte ins Visier zu nehmen.