Toolset di Malware Cereal Collegato al Gruppo APT Turla

Riassunto

ESET ha scoperto un nuovo toolset malware modulare .NET chiamato Cereal, attribuito al gruppo APT Turla. Il framework è specificamente costruito per colpire i server Microsoft Exchange per il cyber spionaggio a lungo termine. Utilizza tecniche avanzate come l’hijacking dei pipeline di trasporto email e l’abuso della cache di immagini native .NET per mantenere la stealth ed evitare il rilevamento.

Investigazione

L’indagine è iniziata dopo che i ricercatori hanno rilevato attività sospette su un server Exchange governativo in Kazakistan nel novembre 2025. Un’ulteriore analisi ha rivelato un set di strumenti modulari contenente componenti come CerealLoader e CerealBox. Successive telemetrie hanno poi rivelato attività simili mirate a un’organizzazione governativa rumena nel dicembre 2025.

Mitigazione

Le organizzazioni dovrebbero monitorare comportamenti anomali di esecuzione .NET, in particolare punti di ingresso non gestiti e correzioni Vtable. Indurire gli ambienti Microsoft Exchange e rilevare cambiamenti non autorizzati al processo EdgeTransport.exe o agli agenti di trasporto esistenti è fondamentale. Anche l’audit della cache di immagini native .NET per DLL inaspettate può aiutare a scoprire meccanismi di persistenza.

Risposta

Quando viene rilevata un’attività malevola, i rispondenti dovrebbero isolare il server Exchange compromesso ed eseguire un’analisi forense della memoria per identificare i moduli iniettati. Esaminare il traffico web per percorsi URL insoliti associati a modelli di comunicazione di CerealNeuron. Condurre un audit esaustivo degli agenti di trasporto Exchange installati e degli assemblaggi .NET a livello di sistema per modifiche non autorizzate.

Esecuzione Simulazione

• Narrazione dell’Attacco & Comandi: Un avversario ha compromesso con successo un ambiente e sta cercando di distribuire il toolset Turla Cereal per stabilire capacità di comando e controllo (C2). Per evitare il rilevamento da parte degli antivirus di base, tenta di eseguire il CerealLoader componente. L’obiettivo dell’avversario è eseguire il loader che caricherà successivamente DLL malevoli in un processo legittimo. La simulazione imiterà questo eseguendo un processo di prova con l’esatto argomento della linea di comando CerealLoader per verificare se il SOC riceve l’allerta.

• Script di Test Regressione:

  # Script di simulazione per attivare la regola di rilevamento Turla Cereal.
  # Questo imita l'esecuzione del componente CerealLoader.
  
  $TargetString = "CerealLoader"
  Write-Host "[+] Avvio simulazione: Esecuzione processo con linea di comando contenente $TargetString"
  
  # Usiamo cmd.exe per eseguire un comando fittizio che include la stringa obiettivo negli argomenti.
  Start-Process "cmd.exe" -ArgumentList "/c echo Simulazione esecuzione di $TargetString" -WindowStyle Hidden
  
  Write-Host "[+] Comando di simulazione inviato. Controlla SIEM per l'allerta."

• Comandi di Pulizia:

  # Non sono stati creati file permanenti durante questa simulazione.
  # Se file fossero stati generati, sarebbero rimossi qui.
  Write-Host "[+] Pulizia completata. Nessun artefatto da rimuovere."