Turla schovává nové nástroje Cereal přímo v Exchange a krade vládní e-maily

Co se stalo

ESET Research 10. listopadu 2026 zveřejnil rozbor sady nástrojů Cereal, postavené pro dlouhodobou špionáž na serverech Microsoft Exchange. Poprvé ji zachytil u státní organizace v Kazachstánu, kde ji identifikoval 28. listopadu 2025. Po úpravě detekcí našel zhruba o měsíc později napadenou rumunskou státní organizaci – tam napadení začalo 23. prosince 2025. V Kazachstánu se aktivita znovu zvedla 15. ledna 2026.

ESET připisuje Cereal s vysokou jistotou skupině Turla (známé též jako Snake), ruské špionážní skupině. Opírá se o současně běžící komponentu, kterou už dřív veřejně spojili s Turlou, a o podobnost se staršími nástroji této skupiny. Turla zneužívala Exchange i dřív – ESET v roce 2019 popsal její zadní vrátka LightNeuron v podobě transportního agenta.

Jak útok probíhá

Sada se skládá z několika spolupracujících částí:

Spuštění. ESET našel kód zavaděče v souboru ncobjapi.dll a ve falešném wbemcomn.dll ve složce C:\Windows\System32\wbem\, odkud je automaticky načte služba WMI; falešná knihovna přeposílá volání skutečným funkcím. Další kopie se skrývala v mezipaměti nativních obrazů .NET jako Microsoft.Exchange.Search.Mdb.ni.dll a v jednom vzorku se aktivovala jen ve vyhledávací službě Exchange. Kód využívá nespravované vstupní body a takzvané vtable fixups, takže běží, aniž by ho cokoli viditelně volalo.

Krádež pošty. CerealBox si neinstaluje vlastního transportního agenta. Obalí obslužné funkce agentů, které už v procesu EdgeTransport.exe běží, nejdřív provede svou logiku a pak nechá poštu normálně projít. Zprávu si ponechá, jen když má přílohu .doc, .docx nebo .pdf a odpovídá napevno zadaným seznamům odesílatelů, příjemců, slov v předmětu nebo názvů příloh. V Rumunsku seznamy mířily na poštu z adres NATO a EU a na ně. Vybrané zprávy se komprimují, šifrují a ukládají na disk.

Příkazy. Zadní vrátka se nikam nehlásí a ESET nezaznamenal žádnou vnější infrastrukturu. CerealNeuron čeká na šifrované požadavky na třech cestách serveru Exchange dostupného z internetu; co neprojde kontrolami, dostane běžně vypadající chybovou stránku Exchange. Příkazy, které ESET viděl, čtou schránky přes Exchange Web Services, dotazují se do Active Directory (počítače, uživatelé, skupiny, záznamy DNS), spouštějí dotazy WMI, získávají tajemství LSA, vypisují stínové kopie svazků a pracují se soubory.

Koho se to týká

ESET potvrzuje oběti jen u státních organizací v Kazachstánu a Rumunsku. Postupy ale fungují na jakémkoli lokálním serveru Exchange a ESET připomíná, že Turla obvykle míří na vlády, diplomatické mise a obranu. Jak se útočníci dostali dovnitř, ESET neuvádí, a žádné CVE nejmenuje. Dopad na Česko nebo Slovensko zatím nikdo nedoložil.

Jak poznat napadení

Domény ani IP adresy ESET nezveřejnil – Cereal žádnou vnější infrastrukturu nepoužívá. Názvy souborů a cesty z článku ESET:

C:\Windows\System32\wbem\ncobjapi.dll
C:\Windows\System32\wbem\wbemcomn.dll
Microsoft.Exchange.Search.Mdb.ni.dll   (v mezipaměti nativních obrazů .NET)
/owa/sdds/
/autodiscover/proxyservice/
/microsoft-server-activesync/integrated/api/

ESET do svého repozitáře IOC na GitHubu (složka turla, seznam samples.sha1) doplnil otisky SHA-1 18 souborů Cereal s detekcemi ESET. Ověřili jsme je 11. listopadu 2026; shodují se v README i v seznamu otisků. Pozor: soubory nesou jména skutečných knihoven Exchange a Windows, takže rozhoduje otisk, ne název.

4A3C263977417FB6977B0E598C9E3BC5924F390C  Microsoft.Exchange.Data.Transport.ni.dll  CerealLoader (MSIL/Agent.YCC)
7742C6B0AAF114335CEF7EBAB11290CB18A0B8B3  version.dll  CerealLoader (MSIL/Agent.YCC)
AFE448DD95494CD14438F04F0C5F6B384664A3B7  version.dll  CerealLoader (MSIL/Agent.YCC)
4A65040646E354303F067D47AA1C953D467F65CB  Microsoft.Search.Platform.dll  CerealLoader (MSIL/Agent.YCA)
D1E17520A2435EDCDCC47F582381416FBDF75F94  Microsoft.Ceres.dll  CerealLoader (MSIL/Agent.YCA)
7AB784D0049890D9844AEE7F214BA173E3CC23BE  wbemcomn.dll  CerealLoader (MSIL/Agent.YCA)
5D80118B1EE974936322475F740AB3AEFF70B8F3  EdgeTransport.ni.exe  CerealLoader (MSIL/Agent.YCC)
D51C58C2E95D4561848E0A5A8B9FB33C847C50A4  iph.dat  CerealLoader (MSIL/Agent.YCA)
5B94FE76EC4FEB0B5CB6EA3BCA4C48D2FE22597B  ncobjapi.dll  CerealLoader (MSIL/Agent.YCA)
1408A8F62B09A5AD0DFF279B2878D8F59F70A330  Microsoft.Exchange.Search.Mdb.ni.dll  CerealLoader (MSIL/Agent.YCC)
3D1A534CE0D0C293F62ECE556CBC6D0728213104  Microsoft.Exchange.EdgeSyncSvc.ni.exe  CerealLoader (MSIL/Agent.YCC)
AD85FBF2CC879D4325BCE1E6FB5F12AB59E3D387  -  CerealRunner (MSIL/Agent.YBZ)
3EA03188DBA8898D97E965732C1D6A68C5437EDC  -  CerealSprinter (MSIL/Agent.YBZ)
3FBA18AF966DEACF7AE09E4D4238952DD90A6D6F  -  CerealHermit (MSIL/Agent.YBZ)
EB9BA1DA5363F5D04E2F98673595FCE93F39A78E  -  CerealIron (MSIL/Agent.YBZ)
0B4E4A1CE7FEE91BFC62B2A2EC572C325642BB60  -  CerealMoth (MSIL/Agent.YBZ)
A4E477CE257F2C635401EF554E05506C080967C0  -  zaváděcí DLL (x86) (Win32/Agent.AIOQ)
A5BE8706032A0798FD63214A9F22EFA6309355F5  -  zaváděcí DLL (x64) (Win32/Agent.AIOQ)

Naše tipy k hledání vycházejí z popisu ESET (nejde o kontrolní seznam ESET):

• Hledejte oba názvy DLL v System32\wbem a porovnejte podpis a otisk se zdravým serverem Exchange stejné verze.
• Hledejte Microsoft.Exchange.Search.Mdb.ni.dll v mezipaměti nativních obrazů a každou nepodepsanou nebo nečekanou kopii berte jako podezřelou.
• Projděte logy IIS na požadavky na tři uvedené cesty. Podle ESET provoz napodobuje běžné používání Exchange, takže shoda je stopa, ne důkaz.
• Sledujte vkládání kódu do EdgeTransport.exe a nové šifrované nebo archivům podobné soubory na serveru Exchange.
• Nezměněný výpis Get-TransportAgent tu nic nedokazuje.

Náš IOC extraktor z logů a zpráv vytáhne čisté seznamy a hash kalkulačka pomůže porovnat knihovny DLL. Obojí běží jen ve vašem prohlížeči.

Co udělat

1. Hledejte hned, pokud provozujete lokální Exchange ve státní správě, diplomacii nebo obraně, zvlášť ve střední a východní Evropě nebo ve Střední Asii.
2. Když stopy najdete, berte celou doménu jako napadenou. Cereal získával tajemství LSA a dotazoval se do Active Directory – změňte hesla servisních a privilegovaných účtů a server Exchange raději postavte znovu, než abyste mazali soubory.
3. Počítejte s tím, že pošta byla přečtená. Zjistěte, ke kterým schránkám a přílohám se útočníci mohli dostat, a informujte NÚKIB (na Slovensku SK-CERT).
4. Omezte vystavení: držte Exchange na podporované, plně aktualizované verzi a omezte, které služby Exchange jsou dostupné z internetu.

Časová osa

Aktualizace

• 12. 11. 2026 – Rumunská zpravodajská služba SRI 11. 11. v tiskovém prohlášení potvrdila útok na blíže neurčenou státní instituci: její Národní centrum Cyberint ho odhalilo v prosinci 2025, provedlo protiopatření a e-mailová služba je vyčištěná. Útočníci podle SRI zneužili „řadu systémových zranitelností v operačních systémech Microsoft“ (konkrétní CVE neuvádí). Únik citlivých dat SRI nezjistila. Na zprávy o skupině Turla SRI reaguje, sama ale útok nikomu výslovně nepřipisuje. Nálezy sdílela s partnery v EU a NATO.
• 11. 11. 2026 – doplněny otisky SHA-1 18 souborů Cereal z repozitáře ESET malware-ioc (oddíl Jak poznat napadení).
• 10. 11. 2026 – první verze článku.