資安業者 ESET 11 月 10 日發表研究，指稱在哈薩克與羅馬尼亞各一個政府機關的 Microsoft Exchange 伺服器上發現未曾記錄的模組化 .NET 間諜工具組 Cereal，並以高信心歸因於與俄羅斯有關的 APT 組織 Turla [1]。ESET 表示羅馬尼亞機關於 2025 年 12 月 23 日遭入侵，工具被設定為辨識與北約及歐盟往來的郵件，且未發現外部指揮控制基礎設施，而是由受害 Exchange 伺服器本身充當控制點 [1][2]。Exchange 管理者應比對 ESET 在 GitHub 公布的入侵指標，檢查伺服器上是否有 Cereal 相關元件 [2]。
高進行中研究者揭露
ESET：Turla 以新工具組 Cereal 潛伏政府 Exchange 伺服器，鎖定與北約、歐盟往來郵件
閱讀約 2 分鐘
- 揭露
- 2026年11月10日
- 發布
- 2026年11月10日
- 最後更新
- 2026年11月10日
- CVSS 依據
- 本站評估
- 技術 / 系統類型
- 初始入侵方式
- 影響
- 攻擊者類型
- 動機
本頁內容
30 秒摘要
事件時間軸
技術細節
發生什麼
ESET 於 2025 年 11 月 28 日在哈薩克一個政府機關的 Exchange 伺服器上發現安裝惡意程式碼的工具組，一個月後又在羅馬尼亞一個政府機關發現相同工具組；ESET 將其命名為 Cereal，並以高信心歸因於 Turla [1]。BleepingComputer 報導指出，Turla 又名 Snake、Secret Blizzard 與 Waterbug，與俄羅斯聯邦安全局（FSB）有關 [2]。
手法
報導指出，其中的 CerealBox 元件注入 Exchange 的 EdgeTransport.exe 程序並劫持既有傳輸代理，在不中斷郵件傳遞的情況下篩選含 .DOC、.DOCX、.PDF 附件並符合特定寄件者、收件者與主旨條件的郵件；CerealNeuron 元件則等待偽裝成合法 Exchange 服務路徑的加密網頁請求並在記憶體中執行指令，可查詢 Active Directory、擷取本機憑證與讀取或刪除檔案 [2]。ESET 表示此工具組未使用外部基礎設施，而是由受害 Exchange 伺服器充當指揮控制中心 [1]。
影響與因應
ESET 已在 GitHub 公布延伸的清單 [2]。
修復指引
廠商建議
- 1比對入侵指標 detect[2]
Exchange 管理者比對 ESET 於 GitHub 公布的 Cereal 入侵指標，並檢查 EdgeTransport.exe 是否遭注入。
參考來源
研究機構1
- [1]
“We attribute Cereal, with high confidence, to the Russia-aligned APT group Turla, based on the concurrent use of another component publicly linked to Turla and conceptual similarities to older Turla malware.”
媒體報導1
- [2]
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。