Convirtieron el correo de dos organismos estatales en fuente de inteligencia; rastros aparecieron solo meses después

Los correos de organismos estatales seguían llegando a los destinatarios sin demoras ni errores sospechosos, mientras un módulo malicioso extraía silenciosamente copias del servidor Microsoft Exchange. La empresa ESET reveló el conjunto de herramientas Cereal, que se encontró en dos organizaciones gubernamentales de Kazajistán y Rumanía. En este último caso, la intercepción se dirigió a la correspondencia con la OTAN y la Unión Europea.

Las primeras señales de Cereal se detectaron el 28 de noviembre de 2025 en el servidor de un organismo kazajo. En la organización rumana la infección la dataron el 23 de diciembre. Los especialistas de ESET vincularon con alta confianza el conjunto al grupo Turla, en cuyo arsenal se había encontrado anteriormente Kazuar. Cuántos correos lograron sustraer y por qué método se comprometieron inicialmente los servidores no se especifica en la investigación.

El componente principal CerealBox se insertaba en el proceso EdgeTransport.exe, que procesa el flujo de correo de Exchange. En lugar de instalar un nuevo agente de transporte, el código interceptaba los manejadores de módulos ya cargados y devolvía el control a las funciones habituales. Los correos se enviaban con normalidad, y en la configuración del servidor no aparecía ninguna entrada nueva que pudiera delatar un agente ajeno.

CerealBox no seleccionaba toda la correspondencia, sino mensajes con adjuntos DOC, DOCX o PDF. La dirección del remitente, el destinatario, el asunto o el nombre del archivo tenían que coincidir con condiciones predeterminadas. El módulo comprimía los correos adecuados, cifraba las copias y las guardaba en disco. Más tarde los operadores podían recoger los archivos preparados y borrar los ficheros dejados, ocultando las huellas de la recolección.

El segundo método inusual afectaba al control. La puerta trasera CerealNeuron no contactaba con un servidor de comando separado, sino que esperaba solicitudes cifradas directamente en Exchange. Las direcciones de las solicitudes imitaban servicios habituales como Outlook Web Access, Autodiscover y ActiveSync. Ante un comando erróneo, el programa mostraba una página de error similar a la habitual, dificultando la detección de tráfico extraño.

Los comandos llegaban como pequeños programas .NET dentro de contenedores cifrados CerealRunner y se ejecutaban en la memoria RAM. Las operaciones disponibles incluían leer buzones de correo, inspeccionar Active Directory, comprobar procesos y conexiones de red, y extraer secretos guardados de Windows. La puerta trasera de reserva CerealHermit recibía instrucciones desde archivos cifrados sin canal de red.

Para el arranque encubierto se usaba la sustitución de DLL en los catálogos del sistema de Windows y la caché de bibliotecas .NET compiladas previamente. Anteriormente Turla había utilizado la puerta trasera de correo LightNeuron, que se registraba en Exchange como un agente de transporte independiente. CerealBox actúa de forma diferente: intercepta los manejadores en memoria, sin añadir entradas a la configuración del servicio de correo.

Los ataques descritos afectaban a servidores Exchange ya comprometidos, no a todos los usuarios de Outlook. ESET no mencionó versiones concretas de Exchange ni el método de acceso inicial; no hay confirmación de infecciones en Exchange Online en la nube. No se ha anunciado una vulnerabilidad específica con número CVE, valoración CVSS o una corrección especial para Cereal. Para buscar rastros de la infección, ESET publicó indicadores técnicos.