Conjunto de Ferramentas de Malware Cereal Vinculado ao Grupo APT Turla

Resumo

A ESET descobriu uma nova ferramenta modular de malware .NET chamada Cereal, atribuída ao grupo APT Turla. O framework é especificamente criado para direcionar servidores Microsoft Exchange para ciberespionagem de longo prazo. Ele usa técnicas avançadas como o sequestro de pipelines de transporte de email e o uso indevido do cache de imagem nativa do .NET para manter-se furtivo e evitar detecção.

Investigação

A investigação começou após os pesquisadores detectarem atividade suspeita em um servidor Exchange governamental no Cazaquistão em novembro de 2025. Análises adicionais expuseram um conjunto de ferramentas modular contendo componentes como CerealLoader e CerealBox. Uma telemetria adicional revelou posteriormente uma atividade semelhante visando uma organização governamental romena em dezembro de 2025.

Mitigação

As organizações devem monitorar o comportamento anômalo de execução do .NET, particularmente pontos de entrada não gerenciados e correções de Vtable. Reforçar os ambientes do Microsoft Exchange e detectar alterações não autorizadas no processo EdgeTransport.exe ou nos agentes de transporte existentes são fundamentais. Auditar o cache de imagem nativa do .NET em busca de DLLs inesperadas também pode ajudar a descobrir mecanismos de persistência.

Resposta

Quando uma atividade maliciosa é detectada, os respondedores devem isolar o servidor Exchange afetado e realizar uma análise forense de memória para identificar módulos injetados. Revisar o tráfego da web em busca de caminhos de URL incomuns associados a padrões de comunicação do CerealNeuron. Conduzir uma auditoria abrangente dos agentes de transporte do Exchange instalados e assemblies .NET em nível de sistema para modificações não autorizadas.

Execução de Simulação

• Narrativa do Ataque & Comandos: Um adversário comprometeu com sucesso um ambiente e está tentando implantar o conjunto de ferramentas Cereal do Turla para estabelecer capacidades de comando e controle (C2). Para evitar detecção por AV básico, eles tentam executar o componente CerealLoader. O objetivo do adversário é executar o carregador que então carregará DLLs maliciosas em um processo legítimo. A simulação imitará isso ao executar um processo fictício com o argumento exato da linha de comando component. The adversary’s goal is to execute the loader which will then side-load malicious DLLs into a legitimate process. The simulation will mimic this by executing a dummy process with the exact command-line argument componente CerealLoader. O objetivo do adversário é executar o carregador que então carregará DLLs maliciosas em um processo legítimo. A simulação imitará isso ao executar um processo fictício com o argumento exato da linha de comando para verificar se o SOC recebe o alerta.

• Script de Teste de Regressão:

  # Script de simulação para acionar a regra de detecção do Cereal do Turla.
  # Isso imita a execução do componente CerealLoader.
  
  $TargetString = "CerealLoader"
  Write-Host "[+] Iniciando simulação: Executando processo com linha de comando contendo $TargetString"
  
  # Usamos cmd.exe para executar um comando fictício que inclui a string alvo nos argumentos.
  Start-Process "cmd.exe" -ArgumentList "/c echo Simulação da execução de $TargetString" -WindowStyle Hidden
  
  Write-Host "[+] Comando de simulação enviado. Verifique SIEM para alerta."

• Comandos de Limpeza:

  # Nenhum arquivo permanente foi criado durante esta simulação.
  # Se arquivos fossem criados, eles seriam removidos aqui.
  Write-Host "[+] Limpeza completa. Nenhum artefato para remover."