Cereal マルウェア ツールセットが Turla APT グループに関連付けられる

概要

ESETは、Turla APTグループに関連するCerealという新しいモジュラー型.NETマルウェアのツールセットを発見しました。このフレームワークは、長期的なサイバースパイを目的としてMicrosoft Exchangeサーバーを狙って特別に構築されています。メール送信パイプラインのハイジャックや.NETネイティブイメージキャッシュの悪用など、高度な技術を使用してステルスを維持し、検出を回避します。

調査

この調査は、2025年11月にカザフスタンの政府Exchangeサーバーで不審な活動が検出された後に始まりました。さらに分析を進めた結果、CerealLoaderやCerealBoxといったコンポーネントを含むモジュール型ツールセットが明らかになりました。後のテレメトリーは、2025年12月にルーマニアの政府組織を狙った同様の活動を示しています。

緩和策

組織は、.NETの異常な実行動作、特に非管理エントリポイントやVtable修正に注目する必要があります。Microsoft Exchange環境を強化し、EdgeTransport.exeプロセスや既存のトランスポートエージェントへの無許可の変更を検出することが重要です。また、.NETネイティブイメージキャッシュの意図されないDLLを監査することで持続機構を暴くことができます。

対応策

悪意のある活動が検出された場合、レスポンダーは影響を受けたExchangeサーバーを隔離し、メモリーフォレンジック分析を行い注入されたモジュールを特定すべきです。CerealNeuron通信パターンに関連する異常なURLパスのためにウェブトラフィックをレビューします。インストール済みのExchangeトランスポートエージェントとシステムレベル.NETアセンブリの包括的な監査を実施し、無許可の修正を確認します。

シミュレーションの実行

• 攻撃の流れとコマンド： 敵対者は環境への侵入に成功し、コマンド・アンド・コントロール（C2）機能を確立するためにTurla Cerealツールセットを展開しようとしています。基本的なAVによる検出を避けるため、彼らは CerealLoader コンポーネントを実行しようとします。敵対者の目標は、そのローダーを実行して正当なプロセスに悪意のあるDLLをサイドロードすることです。このシミュレーションは、正確なコマンドライン引数を使用してダミープロセスを実行することでこれを模倣します。 CerealLoader SOCがアラートを受け取るか確認します。

• リグレッションテストスクリプト：

  # Turla Cereal 検出ルールをトリガーするシミュレーションスクリプト。
  # CerealLoaderコンポーネントの実行を模倣します。
  
  $TargetString = "CerealLoader"
  Write-Host "[+] シミュレーション開始：含むコマンドラインでプロセスを実行中 $TargetString"
  
  # 私たちは、引数にターゲット文字列を含むダミーコマンドを実行するためにcmd.exeを使用します。
  Start-Process "cmd.exe" -ArgumentList "/c echo $TargetString 実行のシミュレーション" -WindowStyle Hidden
  
  Write-Host "[+] シミュレーションコマンドが送信されました。SIEMでアラートを確認してください。"

• クリーンアップコマンド：

  # このシミュレーション中に永続的なファイルは作成されませんでした。
  # ファイルがドロップされた場合、ここで削除されるでしょう。
  Write-Host "[+] クリーンアップ完了。削除するアーティファクトはありません。"