Des hackers liés à l’État russe ont utilisé une suite de malwares jusque-là inconnue pour s’infiltrer dans des serveurs Microsoft Exchange gouvernementaux en Roumanie et au Kazakhstan, intercepter certaines communications par e-mail tout en laissant la distribution normale des messages intacte, et ce sans se faire remarquer.
Des chercheurs d’ESET ont identifié ce malware, baptisé Cereal, dans les deux pays. En Roumanie, la suite était configurée pour recueillir des correspondances impliquant des institutions de l’OTAN et de l’Union européenne, exposant un canal potentiel pour des communications diplomatiques et gouvernementales sensibles.
Les résultats, détaillés dans les recherches d’ESET du 10 novembre, décrivent une opération de cyberespionnage sophistiquée qui se dissimule au sein de processus Exchange légitimes, exécute des commandes en mémoire et utilise des serveurs compromis pour le contrôle-commande.
Comment le malware Cereal intercepte les e-mails Microsoft Exchange
Cereal est une suite modulaire composée de huit éléments interconnectés, chacun étant responsable d’une partie différente de l’attaque.
ESET attribue avec un haut degré de confiance ce malware à Turla, également connu sous les noms de Snake et Secret Blizzard, un groupe de cyberespionnage largement associé au Service fédéral de sécurité russe (FSB).
Ce groupe cible des gouvernements et des organisations diplomatiques depuis plus de vingt ans. Des enquêtes antérieures ont également révélé une coopération entre Turla et Gamaredon, une autre opération de piratage liée à l’État russe.
Le composant le plus distinctif de Cereal est CerealBox, qui opère au sein du service de transport des e-mails Exchange de Microsoft.
Les agents de transport Exchange ordinaires prennent en charge des tâches telles que le filtrage des spams et le traitement des e-mails. Les administrateurs peuvent examiner les agents enregistrés via la configuration d’Exchange.
Cereal s’injecte au contraire dans le processus légitime EdgeTransport.exe et détourne les gestionnaires appartenant aux agents déjà actifs en mémoire.
Le malware intercepte certains messages sans enregistrer de nouvel agent de transport, laissant la configuration des agents d’Exchange inchangée.
Quelles informations CerealBox recueille-t-il ?
Le malware recherche les messages contenant des pièces jointes correspondant à certains types de documents :
- Fichiers Microsoft Word (.doc et .docx).
- Documents PDF (.pdf).
Les messages doivent également correspondre à au moins un critère configuré, notamment les adresses de l’expéditeur ou du destinataire, le texte de l’objet ou les noms de fichiers joints. Des listes d’exclusion filtrent les messages indésirables.
Les e-mails correspondants sont compressés, chiffrés et stockés temporairement avant que les attaquants ne les récupèrent et suppriment les fichiers mis en attente.
La distribution des e-mails se poursuit normalement, ce qui réduit les chances que les utilisateurs remarquent une activité inhabituelle.
D’autres attaques de persistance visant Exchangeont manipulé les autorisations des boîtes aux lettres via Outlook Web Access afin de conserver un accès non autorisé.
CerealBox adopte une approche différente en interceptant directement les e-mails au sein du processus de transport d’Exchange.
Selon ESET, cette méthode consistant à détourner les gestionnaires d’agents de transport existants n’avait encore jamais été documentée dans une autre famille de malwares.
Turla transforme des serveurs Exchange compromis en centres de commande
Cereal évite également un indicateur courant d’activité malveillante : les connexions sortantes répétées vers des serveurs de contrôle-commande contrôlés par les attaquants.
ESET n’a trouvé aucune infrastructure externe dédiée au contrôle-commande associée aux intrusions observées.
À la place, un composant appelé CerealNeuron attend les requêtes entrantes sur le serveur Exchange compromis.
Les requêtes arrivent par des chemins web ressemblant à des services Microsoft Exchange légitimes, notamment Outlook Web Access, Autodiscover et ActiveSync.
L’un des chemins observés était /owa/sdds/.
Lorsque le malware valide le chiffrement et l’intégrité d’une requête entrante, CerealNeuron en déchiffre le contenu et exécute la commande fournie.
Les requêtes qui échouent à la validation reçoivent une réponse d’erreur Exchange d’apparence légitime.
Cela permet aux requêtes malveillantes de se fondre dans le trafic HTTPS ordinaire.
Les attaquants ont déjà dissimulé le trafic de commande via des API cloud légitimes. Cereal utilise au contraire le serveur Exchange compromis lui-même comme point de contrôle, ce qui limite l’efficacité des défenses axées sur les destinations malveillantes connues.
Huit composants assurent un accès à long terme
ESET a identifié plusieurs outils spécialisés fonctionnant de concert :
- CerealLoader : Charge des assemblys .NET chiffrés et utilise des techniques d’exécution inhabituelles pour échapper à l’analyse.
- CerealRunner : Empaquette et exécute des commandes fournies sous forme de programmes distincts.
- CerealNeuron : Reçoit des commandes chiffrées par l’intermédiaire de requêtes web entrantes.
- CerealHermit : Exécute des commandes stockées dans des fichiers chiffrés lorsque l’accès par le réseau est indisponible.
- CerealBox : Intercepte et recueille certains messages électroniques.
- CerealSprinter, CerealIron et CerealMoth : Prennent en charge l’exécution de charges utiles et leur injection dans des processus légitimes.
La suite exploite également des composants de Windows Management Instrumentation ainsi que le cache d’images natives .NET pour exécuter du code malveillant au sein de processus de confiance.
Les attaquants ont maquillé les composants en utilisant des noms de fichiers associés à des bibliothèques Windows légitimes, notamment ncobjapi.dll et wbemcomn.dll.
ESET a identifié des commandes capables d’interroger Active Directory, de récupérer des boîtes aux lettres, de recueillir des identifiants stockés, d’inspecter les processus actifs et d’accéder aux fichiers.
La conception modulaire permet aux opérateurs d’exécuter des commandes spécialisées sans maintenir une seule porte dérobée volumineuse contenant toutes les fonctionnalités.
Des organisations gouvernementales de Roumanie et du Kazakhstan ciblées
ESET a découvert Cereal pour la première fois sur un serveur Exchange gouvernemental au Kazakhstan, le 28 novembre 2025.
Après avoir amélioré ses méthodes de détection, l’entreprise a identifié la même suite dans une organisation gouvernementale roumaine compromise le 23 décembre 2025.
L’installation roumaine était configurée pour identifier les e-mails envoyés à des adresses institutionnelles de l’OTAN et de l’UE, ou reçus depuis celles-ci.
Ce ciblage correspond aux activités établies de collecte de renseignements de Turla en Europe et en Asie centrale.
La télémétrie d’ESET indique qu’environ 70 % des pays ciblés par Turla depuis 2022 étaient d’anciennes républiques soviétiques ou des pays européens historiquement alignés sur l’Union soviétique.
Les chercheurs ont également observé une hausse de l’activité sur le serveur kazakh le 15 janvier 2026, immédiatement après les célébrations du Nouvel An orthodoxe, observé en Russie et dans plusieurs pays voisins.
ESET n’a pas déterminé comment les attaquants avaient initialement accédé à l’un ou l’autre serveur, quelle était l’étendue totale des compromissions ni la quantité totale d’informations dérobées.
La configuration roumaine établit quelles correspondances le malware devait recueillir, mais les chercheurs n’ont pas quantifié le nombre de messages correspondants effectivement récupérés.
Ce que les administrateurs Exchange doivent examiner
La capacité de Cereal à se dissimuler au sein de processus Exchange légitimes complique sa détection par les alertes antivirus classiques et les listes de blocage réseau.
Les administrateurs responsables de serveurs Exchange exposés à Internet doivent donner la priorité aux vérifications suivantes :
- Inspecter les processus Exchange. Rechercher toute injection de code inattendue ou tout assembly inhabituel chargé par EdgeTransport.exe.
- Examiner les requêtes web suspectes. Examiner les journaux à la recherche d’un trafic inhabituel atteignant les chemins Exchange identifiés dans les recherches d’ESET, notamment
/owa/sdds/. - Vérifier les bibliothèques système. Comparer les fichiers ncobjapi.dll et wbemcomn.dll suspects avec les versions Microsoft de confiance et rechercher les fichiers inattendus dans le cache d’images natives .NET.
- Examiner l’activité de collecte des e-mails. Rechercher des archives chiffrées inexpliquées, des extractions temporaires d’e-mails et des accès non autorisés aux boîtes aux lettres.
- Examiner les accès aux identifiants et aux annuaires. Rechercher des requêtes Active Directory inhabituelles, des accès à des identifiants et l’exécution d’assemblys .NET inhabituels.
ESET a publié des indicateurs de compromission pour faciliter la traque des menaces, avec notamment des détails techniques que les administrateurs peuvent utiliser pour examiner les systèmes potentiellement touchés.
Les équipes de sécurité doivent également conserver des versions prises en charge d’Exchange, appliquer les mises à jour de sécurité, limiter l’exposition inutile à Internet et examiner toute activité administrative anormale.
Les chercheurs n’ont pas identifié de vulnérabilité Exchange précise responsable des compromissions initiales ; l’application des correctifs seule ne permet donc pas d’établir qu’un serveur touché est sain.
La technique d’interception de Cereal exige également des défenseurs qu’ils examinent les processus qui traitent les e-mails, et pas uniquement les journaux d’authentification des utilisateurs ou les connexions réseau sortantes.
Pour les organisations qui gèrent des correspondances sensibles, l’examen des comportements inattendus des processus Exchange et des signes de collecte d’e-mails est essentiel pour détecter cette forme d’espionnage persistant.
À lire également : Des hackers liés à la Russie ont utilisé des sites web compromis pour cibler des iPhone et des appareils Android dans le cadre d’une autre campagne d’espionnage rapportée en novembre.