Ensemble d’outils malveillants Cereal lié au groupe APT Turla

Résumé

ESET a découvert un nouvel ensemble d’outils malveillants modulaires .NET appelé Cereal, attribué au groupe APT Turla. Le framework est spécifiquement conçu pour cibler les serveurs Microsoft Exchange dans un but d’espionnage cybernétique à long terme. Il utilise des techniques avancées telles que le détournement des pipelines de transport d’emails et l’exploitation du cache d’image native .NET pour maintenir la furtivité et échapper à la détection.

Enquête

L’enquête a commencé après que des chercheurs ont détecté une activité suspecte sur un serveur Exchange gouvernemental au Kazakhstan en novembre 2025. Une analyse plus poussée a révélé un ensemble d’outils modulaire contenant des composants tels que CerealLoader et CerealBox. Une télémétrie supplémentaire a plus tard révélé une activité similaire ciblant une organisation gouvernementale roumaine en décembre 2025.

Atténuation

Les organisations devraient surveiller les comportements d’exécution anormaux de .NET, en particulier les points d’entrée non gérés et les corrections de Vtable. Renforcer les environnements Microsoft Exchange et détecter les modifications non autorisées du processus EdgeTransport.exe ou des agents de transport existants sont essentiels. Auditer le cache d’image native .NET pour des DLL inattendues peut également aider à découvrir des mécanismes de persistance.

Réponse

Lorsqu’une activité malveillante est détectée, les intervenants doivent isoler le serveur Exchange affecté et effectuer une analyse forensique de la mémoire pour identifier les modules injectés. Examiner le trafic web pour des chemins d’URL inhabituels associés aux motifs de communication de CerealNeuron. Mener un audit complet des agents de transport Exchange installés et des assemblages .NET au niveau système pour des modifications non autorisées.

Exécution de Simulation

• Narratif d’Attaque & Commandes : Un adversaire a réussi à compromettre un environnement et tente de déployer l’outil Cereal de Turla pour établir des capacités de commande et de contrôle (C2). Pour éviter la détection par un AV basique, il tente de lancer le CerealLoader composant. L’objectif de l’adversaire est d’exécuter le loader qui chargera ensuite en mémoire des DLL malveillantes dans un processus légitime. La simulation mimera cela en exécutant un processus factice avec l’argument de ligne de commande exact CerealLoader pour vérifier si le SOC reçoit l’alerte.

• Script de Test de Régression :

  # Script de simulation pour déclencher la règle de détection du Cereal Turla.
  # Ceci imite l'exécution du composant CerealLoader.
  
  $TargetString = "CerealLoader"
  Write-Host "[+] Démarrage de la simulation : Exécution du processus avec ligne de commande contenant $TargetString"
  
  # Nous utilisons cmd.exe pour exécuter une commande factice qui inclut la chaîne cible dans les arguments.
  Start-Process "cmd.exe" -ArgumentList "/c echo Simulation de l'exécution de $TargetString" -WindowStyle Hidden
  
  Write-Host "[+] Commande de simulation envoyée. Vérifiez l'alerte dans le SIEM."

• Commandes de Nettoyage :

  # Aucun fichier permanent n'a été créé pendant cette simulation.
  # Si des fichiers avaient été déposés, ils seraient supprimés ici.
  Write-Host "[+] Nettoyage terminé. Aucun artefact à supprimer."