Cereal-Malware-Toolset mit der Turla-APT-Gruppe verbunden

Zusammenfassung

ESET hat ein neues modulares .NET-Malware-Toolkit namens Cereal aufgedeckt, das der Turla APT-Gruppe zugeschrieben wird. Das Framework ist speziell darauf ausgelegt, Microsoft Exchange-Server für langfristige Cyber-Spionage anzugreifen. Es verwendet fortschrittliche Techniken wie das Kapern von E-Mail-Transportpipelines und den Missbrauch des nativen .NET-Image-Caches, um unentdeckt zu bleiben und der Erkennung zu entgehen.

Untersuchung

Die Untersuchung begann, nachdem Forscher im November 2025 verdächtige Aktivitäten auf einem Regierungs-Exchange-Server in Kasachstan entdeckten. Weitere Analysen enthüllten ein modulares Toolset mit Komponenten wie CerealLoader und CerealBox. Zusätzliche Telemetriedaten zeigten später ähnliche Aktivitäten, die im Dezember 2025 auf eine rumänische Regierungsorganisation abzielten.

Minderung

Organisationen sollten auf abnormales .NET-Ausführungsverhalten achten, insbesondere auf nicht verwaltete Einstiegspunkte und Vtable-Korrekturen. Die Härtung von Microsoft Exchange-Umgebungen und die Erkennung unautorisierter Änderungen am EdgeTransport.exe-Prozess oder bestehenden Transportagenten sind entscheidend. Das Audit des nativen .NET-Image-Caches auf unerwartete DLLs kann ebenfalls helfen, Beständigkeitsmechanismen aufzudecken.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, sollten die Einsatzteams den betroffenen Exchange-Server isolieren und eine Speicherforensikanalyse durchführen, um eingeschleuste Module zu identifizieren. Überprüfen Sie den Webverkehr auf ungewöhnliche URL-Pfade, die mit den Kommunikationsmustern von CerealNeuron in Verbindung stehen. Führen Sie ein umfassendes Audit der installierten Exchange-Transportagenten und systemweiten .NET-Assemblies auf unautorisierte Änderungen durch.

Simulationsausführung

• Angriffserzählung & Kommandos: Ein Angreifer hat erfolgreich eine Umgebung kompromittiert und versucht, das Turla Cereal-Toolkit zu implementieren, um Kommando- und Kontrollfähigkeiten (C2) zu etablieren. Um von grundlegenden AV-Maßnahmen nicht erkannt zu werden, versuchen sie, die CerealLoader Komponente auszuführen. Ziel des Angreifers ist es, den Loader auszuführen, der dann bösartige DLLs in einen legitimen Prozess sideloaden wird. Die Simulation wird dies nachahmen, indem ein Dummy-Prozess mit genau dem Befehlszeilenargument ausgeführt wird CerealLoader um zu überprüfen, ob das SOC den Alarm erhält.

• Regressionstest-Skript:

  # Simulationsskript, um die Turla Cereal-Erkennungsregel auszulösen.
  # Dies ahmt die Ausführung der CerealLoader-Komponente nach.
  
  $TargetString = "CerealLoader"
  Write-Host "[+] Simulationsstart: Ausführung eines Prozesses mit Befehlszeile, die $TargetString enthält"
  
  # Wir verwenden cmd.exe, um einen Dummy-Befehl auszuführen, der den Zielstring in den Argumenten enthält.
  Start-Process "cmd.exe" -ArgumentList "/c echo Simulation der $TargetString Ausführung" -WindowStyle Hidden
  
  Write-Host "[+] Simulationsbefehl gesendet. Überprüfen Sie das SIEM auf Alarm."

• Bereinigungskommandos:

  # Während dieser Simulation wurden keine permanenten Dateien erstellt.
  # Wenn Dateien abgelegt worden wären, würden sie hier entfernt werden.
  Write-Host "[+] Bereinigung abgeschlossen. Keine Artefakte zu entfernen."