Zestaw narzędzi Cereal powiązany z grupą APT Turla

Podsumowanie

ESET odkrył nowy modularny zestaw narzędzi malware .NET o nazwie Cereal, przypisany grupie Turla APT. Framework jest specjalnie stworzony do atakowania serwerów Microsoft Exchange w celu długoterminowej cyber-espionage. Wykorzystuje zaawansowane techniki, takie jak przechwytywanie potoków transportu e-maili i wykorzystywanie pamięci podręcznej obrazu natywnego .NET do utrzymania niewykrywalności i unikania wykrycia.

Śledztwo

Śledztwo rozpoczęło się po tym, jak badacze wykryli podejrzaną aktywność na rządowym serwerze Exchange w Kazachstanie w listopadzie 2025 roku. Dalsza analiza ujawniła modularny zestaw narzędzi zawierający komponenty takie jak CerealLoader i CerealBox. Dodatkowe telemetrie później ujawniły podobną aktywność wymierzoną w rumuńską organizację rządową w grudniu 2025 roku.

Łagodzenie zagrożeń

Organizacje powinny monitorować nieprawidłowe zachowanie wykonawcze .NET, szczególnie niezarządzane punkty wejściowe i poprawki Vtable. Wzmocnienie środowisk Microsoft Exchange i wykrywanie nieautoryzowanych zmian w procesie EdgeTransport.exe lub istniejących agentów transportu są kluczowe. Audyty pamięci podręcznej obrazu natywnego .NET pod kątem nieoczekiwanych bibliotek DLL mogą również pomóc w odkrywaniu mechanizmów persystencji.

Reakcja

Kiedy zostanie wykryta złośliwa aktywność, reagenci powinni odizolować dotknięty serwer Exchange i przeprowadzić analizę pamięci w celu zidentyfikowania wstrzykniętych modułów. Przeglądaj ruch sieciowy pod kątem nietypowych ścieżek URL związanych z wzorcami komunikacji CerealNeuron. Przeprowadź kompleksowy audyt zainstalowanych agentów transportu Exchange i zespołów .NET na poziomie systemowym pod kątem nieautoryzowanych modyfikacji.

Wykonanie Symulacji

• Narracja Ataku i Komendy: Przeciwnik skutecznie skompromitował środowisko i próbuje wdrożyć zestaw narzędzi Turla Cereal, aby ustanowić zdolności komendy i kontroli (C2). Aby uniknąć wykrycia przez podstawowe oprogramowanie AV, próbują uruchomić CerealLoader komponent. Celem przeciwnika jest wykonanie loadera, który następnie załaduje złośliwe DLL do legalnego procesu. Symulacja będzie naśladować to przez wykonanie atrapowego procesu z dokładnym argumentem w wierszu poleceń CerealLoader aby sprawdzić, czy SOC otrzymuje alarm.

• Skrypt Testu Regresji:

  # Skrypt symulacyjny do wyzwolenia reguły wykrywania Turla Cereal.
  # To imituje wykonanie komponentu CerealLoader.
  
  $TargetString = "CerealLoader"
  Write-Host "[+] Rozpoczęcie symulacji: Wykonywanie procesu z wierszem poleceń zawierającym $TargetString"
  
  # Używamy cmd.exe do wykonania atrapowego polecenia, które zawiera ciąg docelowy w argumentach.
  Start-Process "cmd.exe" -ArgumentList "/c echo Symulacja wykonania $TargetString" -WindowStyle Hidden
  
  Write-Host "[+] Polecenie symulacji wysłane. Sprawdź alert w SIEM."

• Polecenia Czyszczenia:

  # Podczas tej symulacji nie zostały utworzone żadne trwałe pliki.
  # Jeśli pliki byłyby zrzucane, byłyby tutaj usuwane.
  Write-Host "[+] Czyszczenie zakończone. Nie ma artefaktów do usunięcia."