关注 
摘要
ESET 发现了一种新的模块化 .NET 恶意软件工具集，名为 Cereal，归因于 Turla APT 组织。此框架专门用来针对微软 Exchange 服务器进行长期的网络间谍活动。使用了高级技术，如劫持电子邮件传输管道和滥用 .NET 本机图像缓存以保持隐蔽性并规避检测。
调查
调查始于研究人员在 2025 年 11 月检测到哈萨克斯坦政府 Exchange 服务器上的可疑活动。进一步分析揭露了包含 CerealLoader 和 CerealBox 等组件的模块化工具集。稍后的遥测数据显示，2025 年 12 月类似活动针对了一家罗马尼亚政府机构。
缓解措施
组织应监控异常的 .NET 执行行为，特别是未管理的入口点和 Vtable 修复。加强 Microsoft Exchange 环境的安全性以及检测对 EdgeTransport.exe 进程或现有传输代理的未经授权更改至关重要。审计 .NET 本机图像缓存中的意外 DLL 也可能有助于揭示持久性机制。
响应
当检测到恶意活动时，响应人员应隔离受影响的 Exchange 服务器并进行内存取证分析以识别被注入的模块。查看与 CerealNeuron 通信模式相关的不寻常 URL 路径的网络流量。全面审核已安装的 Exchange 传输代理和系统级 .NET 程序集以检测未经授权的修改。
攻击流程
我们正在更新此部分。
检测
从系统文件夹加载了未签名的动态库（通过 sysmon）
可能的进程注入（通过 sysmon）
可能的 Wbemcomn / Netutils 动态库侧加载尝试（通过 image_load）
可能的 Version.dll 假冒尝试（通过 image_load）
可能的 Ncobjapi 动态库侧加载尝试（通过 image_load）
可能通过远程注册表的横向移动 [correlate/bucket_span_10m]（通过审计）
Turla Cereal 工具集组件检测 [Windows 进程创建]
模拟执行
-
攻击叙述和命令： 对手已成功入侵环境，并试图部署 Turla Cereal 工具集以建立命令和控制（C2）能力。为了避免被基本防病毒软件检测到，他们尝试运行
CerealLoader组件。对手的目标是执行加载程序，然后将恶意 DLL 侧加载到合法进程中。模拟将通过执行具有准确命令行参数的虚拟进程来模仿这一点CerealLoader以验证 SOC 是否收到警报。 -
回归测试脚本：
# 触发 Turla Cereal 检测规则的模拟脚本。 # 这模仿了 CerealLoader 组件的执行。 $TargetString = "CerealLoader" Write-Host "[+] 启动模拟：执行包含 $TargetString 的命令行的进程" # 我们使用 cmd.exe 执行包含目标字符串作为参数的虚拟命令。 Start-Process "cmd.exe" -ArgumentList "/c echo 模拟 $TargetString 执行" -WindowStyle Hidden Write-Host "[+] 已发送模拟命令。检查 SIEM 是否有警报。" -
清理命令：
# 在此模拟过程中未创建永久文件。 # 如果有文件被丢弃，会在此处删除。 Write-Host "[+] 清理完成。没有要删除的工件。"
