ESET Research a découvert sur des serveurs Exchange de gouvernements au Kazakhstan et en Roumanie un nouvel ensemble d’outils d’espionnage, qu’il attribue au groupe russe Turla. En Roumanie, celui-ci collectait des e-mails à destination et en provenance de l’OTAN et de l’UE.
Cet ensemble d’outils s’appelle Cereal et a été conçu pour les serveurs Microsoft Exchange. Il reçoit des commandes et les exécute en mémoire, cartographie l’organisation touchée et collecte une sélection d’e-mails. Fin 2025, ESET a constaté que deux organisations gouvernementales nationales étaient compromises par Cereal, l’une au Kazakhstan et l’autre en Roumanie.
ESET attribue l’ensemble d’outils à Turla, également connu sous le nom de Snake, avec un haut degré de confiance. Le groupe est actif depuis au moins 2004 et est considéré comme une émanation du Service fédéral de sécurité russe (FSB). Le nom Cereal renvoie à la sérialisation, une technique qui consiste à empaqueter des données et du code en vue de leur transport, et sur laquelle les outils reposent fortement.
Le serveur Exchange comme centre de commande
ESET n’a trouvé aucune infrastructure externe de commande et de contrôle (C&C) liée à Cereal. Une porte dérobée passive sur le serveur Exchange donne aux attaquants accès au réseau interne, et le serveur compromis fait lui-même office d’infrastructure C&C. L’ensemble d’outils laisse à peine de traces sur le disque. Il se dissimule dans des processus Exchange légitimes.
Un module automatisé de collecte d’e-mails est également injecté dans ces processus. Il accède au pipeline de transport de courrier d’Exchange et peut le manipuler. Matías Porolli, le chercheur d’ESET qui a découvert l’ensemble d’outils, décrit le cas d’un fonctionnaire qui envoie un e-mail à un collègue d’une alliance militaire internationale. « Mais avant que l’e-mail ne quitte le bâtiment, un morceau de code analyse le message, le juge intéressant et en fait une copie qui est ensuite transmise à des personnes non autorisées, tandis que l’e-mail d’origine poursuit tranquillement son chemin. »
Les charges utiles restent chiffrées, le code s’exécute en mémoire autant que possible et les commandes arrivent sous la forme de fragments distincts de code .NET. Cereal recourt pour cela à des astuces .NET comme les unmanaged entry points et détourne le native image cache de .NET. Selon ESET, l’ensemble d’outils est de ce fait assez sophistiqué par rapport à la plupart des cas d’APT récents qu’il a examinés. « Ce qui rend cet ensemble d’outils singulier, c’est la combinaison de techniques novatrices qui exigent une connaissance approfondie du fonctionnement interne d’Exchange, associées à des méthodes d’exécution .NET inhabituelles », explique Porolli.
Les cibles de Turla
En Roumanie, le composant CerealBox était configuré pour collecter les messages liés à des adresses e-mail d’institutions de l’OTAN et de l’UE. Selon ESET, cela correspond à d’anciennes priorités des services de renseignement russes et pourrait être lié aux tensions régionales. Depuis début 2025, la Roumanie a signalé plusieurs incidents impliquant des drones russes qui se sont écrasés à proximité du territoire roumain ou sur celui-ci. Cela a suscité de vives réactions des autorités roumaines et des demandes en faveur d’une mission de l’OTAN dans la région de la mer Noire.
Au Kazakhstan, le gouvernement a commencé en janvier 2026 à renvoyer certains exilés russes et opposants au régime, qui y avaient trouvé un refuge sûr après l’invasion russe de l’Ukraine. ESET y voit le contexte politique de l’intrusion dans ce pays.
D’après la télémétrie d’ESET, environ 70 % des pays que Turla a attaqués depuis 2022 font partie des anciennes républiques soviétiques ou sont des pays européens qui entretenaient des liens étroits avec l’Union soviétique. ESET ne révèle pas comment les attaquants sont entrés sur les serveurs Exchange des deux gouvernements.