Русские хакеры из Turla превратили серверы Microsoft Exchange в шпионские центры для перехвата переписки НАТО и ЕС

Группировка Turla, которая считается русскоязычной, якобы заразила почтовые серверы Microsoft Exchange в государственных организациях Казахстана и Румынии комплексом Cereal. Программа скрытно отбирает письма по заданным адресам, а на румынском сервере искала переписку с НАТО и Евросоюзом. Выделенный сервер управления хакерам не понадобился, командным центром стал сам заражённый Exchange.

Подробности 10 ноября 2026 года опубликовала компания ESET. Первый заражённый сервер нашли в Казахстане 28 ноября 2025 года, позже похожий инструментарий выявили в госорганизации Румынии. Cereal с высокой степенью уверенности приписали Turla, известной под названиями Snake и Uroburos и занимающейся кибершпионажем с 2004 года.

Cereal собран из семи модулей, и каждый решает узкую задачу:

• CerealLoader запускает остальные компоненты и мешает анализу;
• CerealRunner и CerealSprinter распаковывают и запускают другие программы прямо в памяти;
• CerealNeuron служит пассивным бэкдором и исполняет присланные команды;
• CerealHermit работает запасным каналом и берёт инструкции из зашифрованных файлов на диске, обходясь без сети;
• CerealIron запускает .NET-компоненты внутри процессов, не рассчитанных на подобный код;
• CerealBox ведёт почтовую разведку и откладывает нужные письма для вывода.

Операторы обходятся без универсального бэкдора и применяют небольшие исполняемые файлы, каждый из которых получает одну задачу, выполняет её и возвращает результат.

CerealBox работает внутри EdgeTransport.exe, процесса Exchange, который обрабатывает почтовый поток, и перехватывает обработчики существующих транспортных агентов, поэтому новый агент в конфигурации не появляется. Письма идут в обычном режиме, а сотрудники могут не заметить вмешательства. Модуль берёт только сообщения с вложениями DOC, DOCX или PDF и сверяет их с заранее подготовленными списками по четырём признакам:

• адреса отправителей;
• адреса получателей;
• фрагменты тем сообщений;
• названия вложений.

Подходящие письма сжимаются, шифруются и ложатся на диск, откуда операторы позже их забирают.

Самой необычной чертой Cereal исследователи называют отсутствие внешней командной инфраструктуры. CerealNeuron ждёт обращений по адресам, которые маскируются под обычные пути Outlook Web Access, Autodiscover и ActiveSync. Корректный запрос расшифровывается и воспринимается как команда, остальные получают страницу ошибки, похожую на штатный ответ Exchange. ESET не нашла серверов операторов и не смогла установить IP-адреса, с которых шли подключения, а гипотезу об анонимайзерах или чужих захваченных серверах подтвердить не удалось.

Заблокировать домен управляющего сервера нельзя, а поймать Cereal мешают и другие приёмы:

• библиотеки маскируются под системные компоненты, а часть нагрузки хранится в зашифрованном виде и распаковывается только во время работы;
• CerealLoader использует редкий механизм VTable Fixups и выполняет машинный код раньше стандартного запуска .NET, поэтому исследователь видит почти пустую точку входа;
• файлы лежат под именами легитимных библиотек в каталоге WMI или в кэше предкомпилированных .NET-библиотек.

Российских компаний находка тоже касается, потому что локальный Exchange по-прежнему стоит во многих организациях, а приём, когда сервер жертвы работает на атакующих, могут перенять и другие злоумышленники.

По телеметрии ESET, около 70% стран, атакованных группировкой с 2022 года, приходятся на бывшие советские республики и европейские государства, исторически близкие к СССР. Под ударом остаются госучреждения, дипломаты и оборонный сектор. 13 июля 2026 года Евросоюз обвинил российские госструктуры в кибероперациях против европейских стран и ввёл санкции против девяти физических лиц и четырёх организаций.

Доступ к почтовому серверу позволяет наблюдать сразу за несколькими подразделениями без взлома каждого компьютера. В мае 2026 года Microsoft предупредила о критической уязвимости CVE-2026-42897 в локальных Exchange Server 2016, 2019 и Subscription Edition, а 15 мая 2026 года американское агентство CISA внесло её в каталог эксплуатируемых уязвимостей Known Exploited Vulnerabilities. Связать Cereal с ней нельзя, поскольку ESET не установила, как Turla проникла на серверы.

Патчей недостаточно, потому что сервер, куда злоумышленники проникли раньше, остаётся скомпрометированным и после обновления. ESET опубликовала индикаторы компрометации, и российские администраторы Exchange могут сверить с ними свои серверы, проверив в первую очередь четыре вещи:

• необычную активность процесса EdgeTransport.exe;
• неожиданные библиотеки в системных каталогах;
• подозрительные изменения в кэше .NET;
• обращения к нестандартным адресам Exchange.

Совпадение одного пути или имени файла с индикатором ещё не доказывает заражение, поэтому признаки сверяют с поведением процессов и контрольными суммами файлов.

Эксперты CISOCLUB отметили, что Cereal ломает привычную логику поиска шпионских программ, где первым делом ищут связь с неизвестным внешним сервером. Когда командным центром служит сам Exchange, а вредоносный код сидит внутри процесса обработки почты, сетевые сенсоры перестают помогать, и на первый план выходит контроль целостности процессов и библиотек самого сервера.

Организациям с локальным Exchange, в том числе российским, стоит регулярно сверять состав транспортных агентов и хранить журналы обращений к OWA, Autodiscover и ActiveSync достаточно долго, чтобы задним числом найти подозрительные запросы. Установка патчей закрывает входной вектор, но не вычищает того, кто успел закрепиться раньше, поэтому после громких уязвимостей сервер нужно проверять как потенциально скомпрометированный. Почтовый сервер госструктуры давно пора относить к критическим активам и беречь с тем же вниманием, что и контроллер домена.

Ранее сообщалось, что аналитики ESET Research обнаружили признаки совместной деятельности двух известных хакерских группировок — Gamaredon и Turla. По оценке специалистов, злоумышленники координируют операции, предоставляя друг другу доступ к взломанным системам и используя возможности партнёров для достижения разведывательных целей. Зафиксированные эпизоды взаимодействия связаны с кибератаками на украинскую инфраструктуру.