بدافزار Cereal: ابزار جاسوسی جدید گروه Turla برای نفوذ به سرورهای Microsoft Exchange
Turla’s Cereal malware turns victims’ Exchange servers into spy hubs
گروه هکری Turla با استفاده از یک ابزار جدید به نام Cereal، سرورهای Microsoft Exchange سازمان‌های دولتی در قزاقستان و رومانی را هدف قرار داده است. این بدافزار با پنهان شدن در ترافیک عادی شبکه، ایمیل‌های حساس را پیش از ارسال رهگیری و سرقت می‌کند.
جزئیات فنی و نحوه عملکرد
بدافزار Cereal شامل مجموعه‌ای از ابزارهای .NET است که به جای استفاده از سرور فرمان و کنترل (C2) خارجی، از خود سرور قربانی به عنوان مرکز فرماندهی استفاده می‌کند. این بدافزار با شنود درخواست‌های وب در مسیرهایی مانند /owa/sdds/ و /autodiscover/proxyservice/، دستورات مهاجمان را که در قالب ترافیک عادی Outlook Web Access یا ActiveSync ارسال می‌شوند، دریافت می‌کند.
این ابزار از دو بخش اصلی تشکیل شده است: CerealNeuron که وظیفه دریافت دستورات از شبکه را دارد و CerealHermit که به عنوان یک در پشتی جایگزین، دستورات را از فایل‌های رمزنگاری شده روی دیسک می‌خواند. مهاجمان برای اجرای دستورات، برنامه‌های کوچک .NET را ارسال می‌کنند که قادر به استخراج اطلاعات از Active Directory، سرقت اعتبارنامه‌های LSA و مدیریت فایل‌ها هستند.
تکنیک نوآورانه در سرقت ایمیل
بخش CerealBox با تزریق مستقیم به فرآیند EdgeTransport.exe، هندلرهای مربوط به عامل‌های انتقال ایمیل (Transport Agents) را در حافظه تغییر می‌دهد. این روش برخلاف متدهای قبلی، نیازی به ثبت عامل جدید در تنظیمات Exchange ندارد و به همین دلیل شناسایی آن بسیار دشوار است.
این ماژول ایمیل‌های حاوی پیوست‌های doc، docx یا pdf را بر اساس لیست‌های از پیش تعیین شده از فرستندگان یا گیرندگان خاص (مانند آدرس‌های مرتبط با NATO و EU) فیلتر کرده و پس از فشرده‌سازی و رمزنگاری، برای استخراج نهایی ذخیره می‌کند.
روش‌های پنهان‌سازی و شناسایی
لودر بدافزار Cereal پیش از اجرای کد .NET، کدهای بومی (Native) را اجرا می‌کند تا تحلیلگران را گمراه کند. این فایل‌ها با نام‌های جعلی مانند ncobjapi.dll یا wbemcomn.dll در مسیرهای سیستمی ویندوز قرار می‌گیرند. همچنین مهاجمان با قرار دادن نسخه‌های مخرب در کش تصاویر بومی .NET، باعث می‌شوند سرور Exchange به جای کتابخانه اصلی، فایل مخرب را بارگذاری کند.
نکته‌های کلیدی
- شناسایی حملات در قزاقستان (۲۸ نوامبر ۲۰۲۵) و رومانی (۲۳ دسامبر ۲۰۲۵).
- انتساب حملات به گروه Turla (وابسته به FSB روسیه) با اطمینان بالا.
- استفاده از ترافیک عادی Exchange برای مخفی کردن دستورات مهاجم.
- تزریق مستقیم به EdgeTransport.exe برای رهگیری ایمیل‌ها بدون تغییر در تنظیمات سیستم.
- استفاده از فایل‌های DLL جعلی در مسیرهای سیستمی برای پایداری در سیستم.
چه باید کرد
- بررسی لاگ‌های سرور Exchange برای شناسایی درخواست‌های غیرعادی در مسیرهای /owa/sdds/ و /autodiscover/proxyservice/.
- بررسی فایل‌های موجود در دایرکتوری‌های کش تصاویر بومی .NET برای یافتن فایل‌های مشکوک با نام‌های مشابه کتابخانه‌های مایکروسافت.
- بررسی فرآیند EdgeTransport.exe برای شناسایی تزریق‌های غیرمجاز در حافظه.
- پایش دقیق فایل‌های DLL در مسیرهای سیستمی نظیر C:\Windows\System32\wbem و تطبیق هش آن‌ها با نسخه‌های معتبر.