Spionaj cibernetic · Exchange on-premises
Potrivit ESET, gruparea Turla, asociată serviciului rus FSB, a compromis pe 23 decembrie 2025 serverul Microsoft Exchange al unei organizații guvernamentale din România, cu un set de instrumente nou, numit Cereal, configurat să colecteze emailurile trimise către sau primite de la adrese NATO și UE. Malware-ul rulează în memorie, se ascunde în procese Exchange legitime și folosește chiar serverul compromis drept centru de comandă, așa că nu vezi trafic către o infrastructură externă. Dacă ai Exchange on-premises sau hibrid, verifică azi trei lucruri: versiunea (2016 și 2019 nu mai primesc patch-uri din 14 octombrie 2025), indicatorii publicați de ESET și cererile neobișnuite către căile OWA, Autodiscover și ActiveSync.
În articolul ESET Research, cercetătorul Matías Porolli descrie Cereal, un set de componente .NET pentru servere Exchange. ESET a găsit setul pe 28 noiembrie 2025 pe un server Exchange al unei organizații guvernamentale din Kazahstan. După ce și-a rafinat detecțiile, l-a găsit și la o organizație guvernamentală din România, compromisă pe 23 decembrie 2025, unde era configurat pentru corespondența cu NATO și UE. ESET atribuie Cereal grupării Turla, cunoscută și ca Snake, activă din cel puțin 2004 și considerată parte a FSB.
Presa românească a preluat informația pe 10 noiembrie, inclusiv Stiripesurse și Antena 3. Niciuna dintre aceste surse nu numește instituția și nici nu include, până la data articolului, o declarație a unei autorități române despre caz.
C:\Windows\System32\wbem\, sub numele ncobjapi.dll sau imitând wbemcomn.dll, și în cache-ul de imagini native .NET, sub nume care imită componente Exchange.EdgeTransport.exe, serviciul de transport Exchange. Nu adaugă un transport agent nou, ci deturnează agenții deja încărcați în memorie. Un mesaj e reținut dacă are atașament .doc, .docx sau .pdf și se potrivește cu liste fixe de expeditori, destinatari, subiecte sau nume de atașamente.BleepingComputer descrie aceleași mecanisme. Articolul ESET nu precizează ce versiuni de Exchange erau afectate.
Trei controale pe care multe echipe se bazează nu ajută aici. Lista de transport agents (Get-TransportAgent) arată la fel, pentru că CerealBox nu înregistrează un agent nou. Blocarea traficului de ieșire nu oprește comanda, pentru că ESET nu a observat infrastructură externă: comenzile intră pe aceleași porturi HTTPS pe care ajung și utilizatorii la OWA. Iar un antivirus care scanează doar fișiere vede puțin, pentru că mare parte din cod rulează în memorie. Rămân trei surse de semnal: integritatea fișierelor de sistem, jurnalele web și comportamentul proceselor Exchange.
Microsoft a încheiat suportul pentru Exchange 2016 și 2019 pe 14 octombrie 2025. Serverele continuă să funcționeze, dar nu mai primesc remedieri de securitate. Ținta recomandată de Microsoft este Exchange Server Subscription Edition (SE). Dacă mai ai un server hibrid păstrat doar pentru administrare, intră și el în inventar: rulează aceleași servicii.
ESET publică indicatorii de compromitere pentru Turla în depozitul malware-ioc de pe GitHub. Importă-i în EDR sau SIEM și caută retroactiv, cel puțin de la sfârșitul lui 2025. Pe serverele Exchange, verifică separat semnătura digitală a DLL-urilor din C:\Windows\System32\wbem\ (de exemplu cu Get-AuthenticodeSignature) și orice fișier nou din cache-ul de imagini native .NET cu nume de componente Exchange. Un fișier nesemnat sau semnat de altcineva decât Microsoft acolo merită investigat.
ESET a observat CerealNeuron ascultând pe /owa/sdds/, /autodiscover/proxyservice/ și /Microsoft-Server-ActiveSync/integrated/api/, pe portul 443. Caută aceste căi, fără să ții cont de majuscule, în jurnalele reverse proxy-ului, ale WAF-ului sau ale load balancerului din fața Exchange, unde cererile sunt înregistrate înainte să ajungă la server. Orice IP care le accesează repetat e un punct de pornire pentru investigație. Un rezultat gol nu dovedește că serverul e curat, dar un rezultat pozitiv îți spune clar unde să te uiți.
Backdoor-ul se ascunde în traficul legitim OWA, Autodiscover și ActiveSync, deci fiecare serviciu publicat fără nevoie lărgește suprafața. Dacă angajații folosesc OWA doar din birou sau prin VPN, nu îl publica. Dacă îl publici, pune-l în spatele unui reverse proxy cu autentificare înaintea serverului și păstrează jurnalele suficient de mult cât să poți căuta înapoi câteva luni. Ca să vezi ce vulnerabilități exploatate activ există în produsele pe care le rulezi, inclusiv Exchange, folosește Stack Check.
Nu reporni serverul și nu șterge fișierele: o mare parte din cod trăiește în memorie, iar o repornire distruge exact dovezile de care ai nevoie. Izolează serverul în rețea, fă o captură de memorie și o copie a discului, apoi cheamă echipa de răspuns la incidente. Pentru că atacatorii au putut citi Active Directory și extrage secrete LSA, tratează conturile de serviciu și de administrare de pe acel server ca fiind compromise și schimbă-le parolele după izolare.
Dacă organizația intră sub NIS2, articolul 23 din Directiva 2022/2555 cere o avertizare timpurie în 24 de ore și o notificare în 72 de ore de la momentul în care afli de un incident semnificativ. Detaliile pentru România sunt în ghidul NIS2, iar ceasul de incident îți pune termenele pe o singură cronologie. Dacă nu știi dacă ești sub NIS2, începe cu evaluarea gratuită.
Un set de componente .NET pentru servere Microsoft Exchange, descris de ESET pe 10 noiembrie 2026. Colectează emailuri selectate din serviciul de transport și transformă serverul compromis în propriul centru de comandă.
ESET vorbește doar despre o organizație guvernamentală din România, compromisă pe 23 decembrie 2025. Numele instituției nu a fost făcut public.
Cereal, așa cum îl descrie ESET, se instalează pe servere Exchange administrate de organizație, nu în serviciul cloud Exchange Online. Dacă ai un mediu hibrid, serverul Exchange local intră totuși în verificare.
Verificăm împreună versiunea, expunerea și indicatorii publicați, și îți lăsăm o listă de remediere pe priorități.
Scrie-ne →