ロシア政府とつながりのあるハッカーが、これまで文書化されていなかったマルウェアツールキットを使い、ルーマニアとカザフスタンの政府系Microsoft Exchangeサーバーに侵入した。通常のメール配送を妨げることなく、選別したメール通信を傍受していた。
ESETの研究者は、両国でCerealと呼ばれるマルウェアを特定した。ルーマニアでは、NATOと欧州連合（EU）の機関に関係する通信を収集するよう設定されており、機密性の高い外交・政府通信が流出する経路になった可能性がある。
この調査結果は、ESETが11月10日に公開した調査で詳しく説明されている。正規のExchangeプロセスに紛れ込み、メモリ上でコマンドを実行し、侵害したサーバーをコマンド＆コントロールに利用する、巧妙なサイバースパイ活動だ。
CerealマルウェアがMicrosoft Exchangeのメールを傍受する仕組み
Cerealは、相互接続された8つのコンポーネントで構成されるモジュール型ツールキットで、各コンポーネントが攻撃の異なる部分を担う。
ESETは、このマルウェアをTurlaと高い確度で特定している。TurlaはSnakeまたはSecret Blizzardとも呼ばれ、ロシア連邦保安庁（FSB）との関係が広く指摘されているサイバースパイ集団だ。
同集団は20年以上にわたり、政府機関や外交組織を標的にしてきた。過去の調査では、TurlaとGamaredonの協力関係も明らかになっている。Gamaredonも、ロシア政府とつながりのあるハッキング活動だ。
Cerealで最も特徴的なコンポーネントはCerealBoxで、MicrosoftのExchangeメール転送サービス内で動作する。
通常のExchange転送エージェントは、スパムフィルタリングやメール処理などを担う。管理者はExchangeの設定から、登録済みエージェントを確認できる。
一方、CerealBoxは正規のEdgeTransport.exeプロセスに自らを注入し、メモリ上ですでに動作しているエージェントのハンドラーを乗っ取る。
このマルウェアは新たな転送エージェントを登録せずに選別したメッセージを傍受するため、Exchangeのエージェント設定は変更されない。
CerealBoxはどのような情報を収集するのか
このマルウェアは、特定の文書ファイルが添付されたメッセージを検索する。
- Microsoft Wordファイル（.docおよび.docx）。
- PDF文書（.pdf）。
メッセージはさらに、送信者または受信者のアドレス、件名の文字列、添付ファイル名など、設定された条件のうち少なくとも1つに一致する必要がある。除外リストによって、不要なメッセージは除外される。
一致したメールは圧縮・暗号化され、攻撃者が取得して一時保存されたファイルを削除するまで、一時的に保管される。
メール配送は通常どおり続くため、ユーザーに異常な活動を気づかれる可能性は低い。
その他のExchange永続化攻撃では、Outlook Web Accessを通じてメールボックスの権限を操作し、不正アクセスを維持していた。
CerealBoxはこれとは異なり、Exchangeの転送プロセス内で直接メールを傍受する。
ESETによると、既存の転送エージェントのハンドラーを乗っ取るこの手法が、別のマルウェアファミリーで文書化された例はこれまでにない。
Turla、侵害したExchangeサーバーをコマンドセンターに転用
Cerealは、マルウェア活動の一般的な指標である、攻撃者が管理するコマンド＆コントロールサーバーへの繰り返しの外向き接続も回避する。
ESETは、確認された侵入に関連する専用の外部コマンドインフラを発見できなかった。
その代わり、CerealNeuronというコンポーネントが、侵害したExchangeサーバー上で受信リクエストを待ち受ける。
リクエストは、Outlook Web Access、Autodiscover、ActiveSyncなど、正規のMicrosoft Exchangeサービスに似たWebパスを通じて届く。
確認されたパスの1つは/owa/sdds/.
受信リクエストがマルウェアの暗号化・完全性チェックを通過すると、CerealNeuronはその内容を復号し、指定されたコマンドを実行する。
検証に失敗したリクエストには、正規のものに見えるExchangeのエラーレスポンスが返される。
これにより、悪意のあるリクエストを通常のHTTPS通信に紛れ込ませることができる。
攻撃者はこれまでにも、正規のクラウドAPIを通じてコマンド通信を隠してきた。Cerealは代わりに、侵害したExchangeサーバー自体を制御ポイントとして利用するため、既知の悪意ある送信先に焦点を当てた防御の効果を限定する。
8つのコンポーネントが長期アクセスを支える
ESETは、連携して動作する複数の専用ツールを特定した。
- CerealLoader：暗号化された.NETアセンブリを読み込み、分析を回避するために異例の実行手法を使う。
- CerealRunner：別個のプログラムとして配信されたコマンドをパッケージ化して実行する。
- CerealNeuron：受信したWebリクエストを通じて暗号化されたコマンドを受け取る。
- CerealHermit：ネットワーク経由のアクセスが利用できない場合、暗号化されたファイルに保存されたコマンドを実行する。
- CerealBox：選別したメールメッセージを傍受・収集する。
- CerealSprinter、CerealIron、CerealMoth：ペイロードの実行と、正規プロセスへの注入を支援する。
このツールキットは、Windows Management Instrumentationのコンポーネントや.NETネイティブイメージキャッシュも悪用し、信頼されたプロセス内で悪意のあるコードを実行する。
攻撃者は、ncobjapi.dllやwbemcomn.dllなど、正規のWindowsライブラリに関連するファイル名を使ってコンポーネントを偽装していた。
ESETは、Active Directoryへの問い合わせ、メールボックスの取得、保存された認証情報の収集、実行中のプロセスの検査、ファイルへのアクセスが可能なコマンドを特定した。
モジュール型の設計により、オペレーターはあらゆる機能を内包した巨大なバックドアを維持することなく、専用のコマンドを実行できる。
ルーマニアとカザフスタンの政府機関を標的に
ESETが初めてCerealを発見したのは、2025年11月28日、カザフスタンの政府系Exchangeサーバーだった。
同社は検知手法を改善した後、2025年12月23日に侵害されたルーマニアの政府機関で、同じツールキットを特定した。
ルーマニアでのインストールは、NATOおよびEU機関のアドレスとの間で送受信されたメールを特定するよう設定されていた。
この標的設定は、欧州と中央アジアでTurlaが長年続けてきた情報収集活動と一致する。
ESETのテレメトリーによると、2022年以降にTurlaが標的にした国の約70%は、旧ソ連構成共和国、または歴史的にソ連と足並みをそろえてきた欧州諸国だった。
研究者はまた、ロシアと複数の近隣諸国で祝われる旧正月休暇の直後に当たる2026年1月15日、カザフスタンのサーバー上で活動が増加したことを確認した。
ESETは、攻撃者がどのようにいずれかのサーバーへの初期アクセスを得たのか、侵害の全容、盗まれた情報の総量を特定できていない。
ルーマニアの設定から、マルウェアが収集対象としていた通信は明らかになるが、研究者は条件に一致したメッセージが何通取得されたのかを定量化していない。
Exchange管理者が調査すべきポイント
Cerealは正規のExchangeプロセス内に隠れるため、従来型のウイルス対策アラートやネットワークのブロックリストによる検知が難しくなる。
インターネットに公開されたExchangeサーバーを管理する管理者は、次の確認を優先すべきだ。
- Exchangeプロセスを調査する。EdgeTransport.exeに予期しないコードインジェクションや見慣れないアセンブリの読み込みがないかを調べる。
- 不審なWebリクエストを確認する。ESETの調査で特定されたExchangeのパスに到達する異常な通信がないか、ログを調べる。
/owa/sdds/. - システムライブラリを検証する。不審なncobjapi.dllおよびwbemcomn.dllファイルを信頼できるMicrosoftのバージョンと比較し、.NETネイティブイメージキャッシュ内に予期しないファイルがないか調べる。
- メール収集活動を調べる。説明のつかない暗号化アーカイブ、一時的なメールダンプ、不正なメールボックスアクセスがないか確認する。
- 認証情報とディレクトリへのアクセスを確認する。異常なActive Directoryへの問い合わせ、認証情報へのアクセス、見慣れない.NETアセンブリの実行がないかを調べる。
ESETは脅威ハンティングを支援する侵害指標を公開しており、管理者が影響を受けた可能性のあるシステムを調査するために利用できる技術情報も含まれている。
セキュリティチームは、サポート対象のExchangeバージョンを維持し、セキュリティ更新プログラムを適用し、不要なインターネット公開を制限するとともに、異常な管理者活動を調査すべきだ。
研究者は、初期侵害の原因となった特定のExchange脆弱性を確認していない。そのため、パッチを適用するだけでは、影響を受けたサーバーがクリーンかどうかを判断できない。
Cerealの傍受手法は、認証記録や外向きのネットワーク接続だけでなく、メールを処理するプロセスも防御側が調べる必要があることを示している。
機密性の高い通信を扱う組織にとって、予期しないExchangeプロセスの挙動やメール収集の兆候を調査することは、この形態の持続的なスパイ活動を検知するうえで不可欠だ。
関連記事：ロシア系ハッカーが侵害したWebサイトを利用してiPhoneとAndroid端末を標的にした、11月に報じられた別のスパイ活動。