Turla, Exchange sunucularını casus üssüne çeviren yeni "Cereal" araç setiyle iki hükümet kurumunu hedef aldı
ESET, Rusya bağlantılı Turla grubunun Kazakistan ve Romanya'daki iki hükümet kurumunun Exchange sunucularına yerleştirdiği modüler .NET araç seti Cereal'i yayımladı. Araç dış komuta sunucusu kullanmıyor; komutlar OWA, Autodiscover ve ActiveSync trafiği gibi görünen isteklerle doğrudan kurbanın sunucusuna geliyor.
ESET araştırmacıları 10 Kasım'da, Rusya bağlantılı Turla grubuna (Snake, Secret Blizzard, Waterbug olarak da biliniyor) yüksek güvenle atfettikleri yeni bir araç setini yayımladı. "Cereal" adı verilen modüler .NET araç seti, biri Kazakistan'da biri Romanya'da olmak üzere iki hükümet kurumunun Microsoft Exchange sunucularında bulundu. ESET'e göre araç seti Kazak kurumunda 28 Kasım 2025'te tespit edildi, Romanya'daki kurum 23 Aralık 2025'te ele geçirildi; Kazakistan'daki faaliyet 15 Ocak 2026'da yoğunlaştı.
Cereal'i farklı kılan, saldırganın kendine ait bir komuta sunucusuna ihtiyaç duymaması. Operatörler komutları doğrudan kurbanın internete açık Exchange sunucusuna, sıradan OWA, Autodiscover ve ActiveSync trafiği gibi görünen isteklerle gönderiyor. ESET, Turla'nın yaygın biçimde Rusya'nın FSB'sine bağlı bir grup olarak değerlendirildiğini hatırlatıyor.
Araç seti nasıl çalışıyor?
ESET'in anlattığına göre diske yazılan tek .NET bileşeni CerealLoader. Bu dosya C:\Windows\System32\wbem\ altında ncobjapi.dll ya da wbemcomn.dll adıyla ve .NET native image önbelleğinde Microsoft.Exchange.Search.Mdb.ni.dll adıyla bulundu. CerealBox, Exchange'in posta taşıma süreci EdgeTransport.exe içine enjekte ediliyor ve mevcut transport agent'ların işleyicilerini sarmalıyor. Bu nedenle Exchange yapılandırmasında yeni bir agent görünmüyor.
CerealNeuron bileşeni 443 portunda /owa/sdds/, /AUTODISCOVER/PROXYSERVICE/ ve /MICROSOFT-SERVER-ACTIVESYNC/INTEGRATED/API/ yollarını dinliyor; eşleşmeyen isteklere gerçek görünümlü bir Exchange hata sayfası dönüyor. Ağ kullanmayan CerealHermit varyantı ise şifreli komut dosyalarını diskten okuyor.
Ne çalınıyor?
CerealBox, yalnızca kodun içine gömülü gönderen, alıcı, konu veya ek adı listeleriyle eşleşen ve .doc, .docx ya da .pdf eki taşıyan e-postaları ayıklıyor. Komutlar arasında EWS üzerinden posta kutusu okuma, Active Directory sorguları, LSA secrets erişimi ve dosya okuma/silme de bulunuyor. Göstergeler (IOC) ESET'in GitHub deposunda ve teknik raporunda yayımlandı.
Ne yapılmalı?
- ESET'in yayımladığı IOC listesini Exchange sunucularınızda ve EDR telemetrinizde tarayın.
- Raporda geçen dosya adlarını salt okunur olarak kontrol edin; bu adlar meşru Windows dosyalarıyla karışabileceği için bulgu tek başına kanıt değildir, imza ve tarih bilgisiyle birlikte değerlendirin:
Get-ChildItem C:\Windows\System32\wbem\ncobjapi.dll, C:\Windows\System32\wbem\wbemcomn.dll -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime
Get-AuthenticodeSignature C:\Windows\System32\wbem\wbemcomn.dll
Get-TransportAgent- IIS günlüklerinde raporda adı geçen
/owa/sdds/,/AUTODISCOVER/PROXYSERVICE/ve/MICROSOFT-SERVER-ACTIVESYNC/INTEGRATED/API/yollarına gelen istekleri arayın. - Araç seti yapılandırmada yeni agent göstermediği için yalnızca
Get-TransportAgentçıktısına güvenmeyin; EdgeTransport.exe sürecine yüklenen beklenmedik modülleri EDR üzerinden inceleyin. - Şüphe varsa sunucuyu adli inceleme tamamlanmadan yeniden kurmayın; kanıtları korumak için olay müdahale ekibinizle ilerleyin.
