Niente server di comando e controllo da scoprire, bloccare o abbattere: Turla, il gruppo di cyberspionaggio legato all’FSB russo, ha trasformato i server Microsoft Exchange delle sue vittime nel proprio centro operativo. È la scoperta di ESET Research, pubblicata il 10 novembre e ribattezzata con un understatement tipicamente anglosassone “Exchange for breakfast”: un toolset — nome in codice “Cereal” — che usa il server di posta stesso come canale di comando, nascondendo i comandi dentro traffico HTTPS che sembra normale amministrazione di Exchange.

Un C&C che non esiste

La caratteristica che rende Cereal diverso dalla stragrande maggioranza del malware di cyberspionaggio è semplice da enunciare e difficile da rilevare: non c’è infrastruttura esterna da monitorare. Il componente principale, CerealNeuron, è una backdoor passiva che resta in ascolto di richieste HTTPS in ingresso su percorsi che imitano l’amministrazione legittima di Exchange — ad esempio /owa/sdds/, /AUTODISCOVER/PROXYSERVICE/ e /MICROSOFT-SERVER-ACTIVESYNC/INTEGRATED/API/. Le richieste valide vengono decifrate ed eseguite; quelle non valide vengono reindirizzate a una pagina di errore di Exchange del tutto plausibile, pensata per non destare sospetti in chi sta solo controllando se il servizio risponde.

“The Cereal toolset is a carefully constructed instrument for long-term, stealthy cyberespionage” — ESET Research

Il risultato, nelle parole dei ricercatori, è che “non c’è un’infrastruttura di comando e controllo dedicata da scoprire, bloccare o smantellare”: il server compromesso della vittima è, a tutti gli effetti, il punto di controllo dell’attaccante.

L’architettura modulare di Cereal

Il toolset non è un singolo binario ma una filiera di componenti specializzati, ciascuno con un compito preciso — una struttura che suggerisce un framework di build automatizzato più che codice scritto a mano per ogni operazione:

• CerealNeuron — backdoor passiva principale, senza comandi integrati: riceve ed esegue assembly .NET forniti tramite CerealRunner.
• CerealHermit — variante di CerealNeuron priva di funzioni di rete: legge comandi cifrati da file su disco e scrive i risultati allo stesso modo, come fallback quando il canale di rete non è disponibile.
• CerealLoader — unico componente scritto su disco in chiaro; carica assembly .NET da file cifrati.
• CerealRunner / CerealSprinter — trasportano ed eseguono altri binari cifrati.
• CerealIron — inietta assembly .NET in processi non-.NET.
• CerealBox — il modulo di esfiltrazione: raccoglie email direttamente nella pipeline di trasporto di Exchange.
• CerealMoth — carica un assembly ed esegue un metodo specifico su richiesta.

Particolarmente insidioso è il comportamento di CerealBox: viene iniettato in memoria in EdgeTransport.exe, il servizio di trasporto di Exchange, e si limita ad avvolgere gli handler esistenti dei transport agent — senza registrare un nuovo agent che un amministratore potrebbe individuare con un controllo di routine. Il modulo filtra la posta in transito cercando allegati .doc, .docx e .pdf che corrispondono a liste predefinite di mittenti, destinatari o oggetti, comprime e cifra i file selezionati, li mette in staging sul disco e infine li esfiltra tramite comandi di CerealNeuron, cancellando le tracce dopo l’invio.

Persistenza: travestirsi da Windows

Per sopravvivere ai riavvii, Cereal punta su un trucco collaudato nel mondo dell’APT: nascondersi tra i file che Windows stesso si aspetta di trovare. Le DLL di CerealLoader vengono depositate in C:\Windows\System32\wbem\ con nomi come ncobjapi.dll o wbemcomn.dll, caricate da WMI, che continua a inoltrare le chiamate legittime come se nulla fosse. Altri file compaiono nella native image cache di .NET con nomi plausibili come Microsoft.Exchange.Search.Mdb.ni.dll, e sfruttano entry point non gestiti e VTable Fixups per eseguire codice nativo prima ancora che venga caricato il codice .NET gestito.

Chi è stato colpito e perché

ESET ha individuato il toolset per la prima volta il 28 novembre 2025 su un server Exchange di un’organizzazione governativa kazaka, con un’intensificazione dell’attività il 15 gennaio 2026 — il giorno successivo alla festività del “Vecchio Anno Nuovo”. I ricercatori collegano l’interesse per il Kazakistan alle deportazioni di dissidenti russi avviate dal paese da gennaio 2026. Il secondo caso documentato è un’organizzazione governativa romena, compromessa il 23 dicembre 2025, dove CerealBox era configurato per intercettare selettivamente email indirizzate a o provenienti da indirizzi NATO e UE — un dettaglio che colloca l’operazione saldamente nel campo dello spionaggio geopolitico contro le istituzioni euro-atlantiche.

Il pattern non è una sorpresa per chi segue il gruppo da tempo: circa il 70% dei paesi presi di mira da Turla dal 2022 sono ex repubbliche sovietiche o stati europei con legami storici stretti con Mosca. I settori d’interesse restano quelli classici dello spionaggio russo — missioni diplomatiche, enti governativi e, in misura minore, aziende private — distribuiti tra Medio Oriente, Asia centrale, Europa ed ex blocco sovietico.

Attribuzione e contesto storico

ESET attribuisce Cereal a Turla “con alta confidenza”, basandosi sull’uso concomitante di un altro componente già pubblicamente collegato al gruppo e su similitudini concettuali con malware Turla più vecchio, incluso il precedente backdoor Neuron da cui CerealNeuron eredita il nome. CISA valuta che l’attore, legato alla Russia, sia affiliato al Center 16 dell’FSB. Turla — conosciuto anche come Secret Blizzard, Snake, Uroburos, Waterbug, Venomous Bear e KRYPTON — è attivo almeno dal 2004 ed è uno dei gruppi APT russi con la storia operativa più lunga e documentata, responsabile in passato di campagne come Snake/Uroburos e del backdoor LightNeuron, sempre contro infrastrutture Exchange.

Due righe per i difensori

ESET non ha pubblicato nel report una vulnerabilità o un vettore d’accesso iniziale specifico — Cereal opera una volta che l’attaccante ha già un punto d’appoggio sul server Exchange, coerentemente con il repertorio storico di Turla fatto di spear-phishing, watering hole e attacchi adversary-in-the-middle a livello di ISP. Per chi gestisce infrastrutture Exchange esposte, in particolare in ambito governativo, diplomatico o della difesa, i segnali da monitorare includono:

• Assembly .NET caricati in modo inatteso in EdgeTransport.exe o in altri processi core di Exchange, senza una corrispondente registrazione di transport agent;
• Richieste web verso percorsi Exchange insoliti o che restituiscono pagine di errore sospettosamente “pulite”;
• File cifrati o anomali nelle directory di Exchange e nella native image cache di .NET;
• Comportamento anomalo del server Exchange stesso come possibile endpoint C2, senza una destinazione esterna chiara da bloccare al perimetro.

Gli indicatori di compromissione completi — hash, nomi file e regole di detection — sono disponibili nel repository pubblico di ESET e nel white paper dedicato a Turla.

Indicatori di compromissione (riepilogo)

Componenti del toolset "Cereal" (Turla / Secret Blizzard):
- CerealNeuron   : backdoor passiva principale, in ascolto HTTPS su path Exchange-like
- CerealHermit   : variante file-based di CerealNeuron, nessuna funzione di rete
- CerealLoader   : loader .NET, unico componente su disco in chiaro
- CerealRunner   : trasporta ed esegue binari cifrati
- CerealSprinter : trasporta ed esegue binari cifrati
- CerealIron     : injection di assembly .NET in processi non-.NET
- CerealBox      : esfiltrazione email via EdgeTransport.exe
- CerealMoth     : caricamento assembly ed esecuzione metodo specifico

Percorsi di persistenza osservati:
- C:\Windows\System32\wbem\ncobjapi.dll
- C:\Windows\System32\wbem\wbemcomn.dll
- Native image cache .NET: Microsoft.Exchange.Search.Mdb.ni.dll (nome plausibile)

Endpoint HTTPS osservati (esempi):
- /owa/sdds/
- /AUTODISCOVER/PROXYSERVICE/
- /MICROSOFT-SERVER-ACTIVESYNC/INTEGRATED/API/

Riferimento IoC completo:
https://github.com/eset/malware-ioc/tree/master/turla