俄罗斯Turla网战工具包Cereal藏身Exchange邮件服务器，窃取北约和欧盟秘密通信

原创

网空闲话
网空闲话

网空闲话plus

2026年11月11日 07:08
北京

去阅读

2026年11月10日，ESET Research发布技术博客，披露与俄罗斯联邦安全局（FSB）关联的APT组织Turla使用一套此前未被记录、名为“Cereal”的模块化.NET工具包，长期潜伏于政府Microsoft Exchange邮件服务器，秘密截取包括北约（NATO）和欧盟（EU）机构往来邮件在内的敏感通信。已确认的两个受害者为哈萨克斯坦和罗马尼亚的政府组织。该工具包以“无外部命令控制（C&C）基础设施”“深度滥用.NET运行时底层机制”“从Exchange邮件传输管道内部钩取邮件”等罕见技战术，将受害者自身服务器转化为攻击者的指挥枢纽，展现出俄罗斯国家级网络间谍行动在隐蔽性、持久性与工程化水平上的新高度。

一、攻击行动的基本情况与时间线

根据ESET Research发布的技术博客、白皮书以及Recorded Future News、Computable.nl、BankInfoSecurity等媒体的同步报道，Cereal工具包的发现可追溯至2025年11月28日。ESET研究人员在哈萨克斯坦一个政府组织的Exchange服务器上首次发现一组可疑组件，随后将其识别为一套此前未被记录的模块化.NET恶意软件工具集。经过检测规则调优，ESET于2025年12月23日在罗马尼亚一个政府组织内发现同一工具包。在罗马尼亚案例中，Cereal被明确配置为识别并收集发送至或接收自北约和欧盟机构地址的邮件。

ESET以“高置信度”将Cereal归因于Turla组织。Turla又称Snake、Secret Blizzard或Venomous Bear，至少自2004年起活跃，被广泛评估为俄罗斯FSB的组成部分，长期针对欧洲、中亚和中东地区的政府机构、外交使团和国防组织。归因依据包括：Cereal与另一款公开关联Turla的组件被同时使用，以及与Turla历史恶意软件在概念上的相似性。根据ESET遥测数据，2022年以来Turla攻击目标国家中约70%为前苏联加盟共和国或历史上与苏联关系密切的欧洲国家，此次两个受害者的地理位置与这一目标画像高度吻合。

值得注意的是，研究人员未能确定攻击者最初如何获得政府服务器的访问权限，也无法确定其窃取信息的具体数量。这一空白本身即说明该行动的隐蔽程度：从初始入侵到持久化、再到邮件收集与外传，整个链条留下的可追溯痕迹极为有限。

ESET研究员Matías Porolli是发现此次Turla新威胁的研究人员。他在报告中所作的比喻精准概括了Cereal的运作方式：“在某国政府办公室，一名官员向跨国军事联盟的同事发送邮件。邮件通过Microsoft Exchange服务器发出，一切如常，没有任何可疑之处。但在邮件离开大楼之前，一小段代码静静检查它，判定其‘有趣’，然后复制一份转发给窥探者，而原始邮件继续上路。”

二、技战术特点：以受害者服务器为C&C的“寄生式”间谍平台

（一）无外部C&C：被动监听而非主动外联

Cereal工具包最引人注目的特征，是ESET研究人员“没有找到”的东西：外部命令与控制基础设施。传统后门通常定期向攻击者控制的服务器发起外联，从而在域名、IP地址、托管服务商和通信时序上留下可被检测和阻断的痕迹。Cereal的核心后门组件CerealNeuron反其道而行之——它不主动外联，而是被动监听传入的Web请求，且监听路径伪装成普通Exchange流量，例如/owa/sdds/、/autodiscover/proxyservice/、/microsoft-server-activesync/integrated/api/。在防火墙日志或流量分析人员眼中，这些请求与合法的Outlook Web Access、Autodiscover和ActiveSync流量几乎无法区分。只有当请求经过正确加密并通过多项完整性校验时，CerealNeuron才会解密内容、将其视为命令并执行；若请求不符合要求，则重定向至一个看似正常的Exchange错误页面。

ESET评价称：“滥用被攻陷的Exchange服务器作为中央操作枢纽是一种罕见技术，仅被少数APT组织使用。Turla过去曾使用过该方法的变体。”其直接后果是：不存在可被发现的专用C&C服务器，也就没有可被阻断或关停的基础设施；操作者的入口IP地址无法通过网络追踪识别；恶意流量与合法Exchange Web服务共存，而后者恰恰是防御者最不可能阻断的流量类型。

CerealHermit作为CerealNeuron的无网络变体，从磁盘读取加密命令文件并写回加密结果，为操作者提供了第二条独立通道。ESET指出，在某些入侵中两种后门被同时部署，使操作者拥有两条独立的达成目标的路径。

（二）命令投递：以“一次性程序”替代大型后门

Turla的操作者并未将全部功能集成于一个大型后门，而是将每条命令编译为独立的小型.NET程序。核心执行组件CerealRunner在自身内部携带其他加密.NET程序及其运行所需参数，执行时在内存中解包运行，并通过同一管道返回输出，由CerealNeuron加密回传。ESET在两个受害组织中检测到大量结构相同、仅具体任务代码不同的CerealRunner二进制文件，这强烈暗示操作者拥有一个自动化编译和打包命令的内部框架。已观察到的命令功能包括：通过Exchange Web Services检索邮箱或特定邮件、查询Active Directory中的计算机/用户/组/DNS记录、执行WMI查询（如列出进程或活动TCP连接）、提取LSA Secrets（Windows本地存储的凭据）、列出卷影快照、以及列出/读取/删除文件——后者常用于处理CerealBox暂存的邮件转储文件。

（三）CerealBox：从Exchange传输管道内部钩取邮件

CerealBox是整套工具包中技术最新颖的组件。Turla此前曾通过滥用Exchange传输代理（transport agent）攻击邮件服务器，但注册传输代理会在Exchange配置中留下可见痕迹。CerealBox则采用更隐蔽的路径：它不注册任何新代理，而是通过一系列嵌套的Cereal组件（CerealRunner→CerealMoth→CerealRunner→CerealIron→CerealSprinter→CerealBox）最终被注入到负责邮件流的EdgeTransport.exe进程中。进入进程后，CerealBox访问Exchange内部结构，找到已有的传输代理，用恶意代码包装其处理程序——包装代码先运行CerealBox自身逻辑，再将控制权交还原代码，邮件流照常运转，而Exchange配置中不会出现任何新代理。ESET指出，这种“从内部钩取Exchange邮件传输管道”的技术此前未在任何恶意软件家族中被记录，要求攻击者具备对Exchange内部邮件管道结构的深入理解。

在筛选逻辑上，CerealBox要求邮件具备.doc、.docx或.pdf附件，并匹配至少一个硬编码列表（发件人地址、收件人地址、主题子串或附件名），同时避开忽略列表。符合条件的邮件被压缩、加密后暂存于磁盘，再由CerealNeuron的常规命令外传和删除。这意味着被窃取的并非海量邮件，而是经过精心筛选的高价值情报。

（四）.NET底层机制的深度滥用

Cereal在.NET执行层面运用了多项罕见技巧。CerealLoader是唯一以未加密形式写入磁盘的组件，其在.NET反编译器中看似“什么都不做”，因为它在.NET运行时启动之前便通过VTable Fixups等机制执行底层原生代码，构建一条从原生代码回到某个.NET方法的隐藏桥梁。攻击者还将CerealLoader伪装成ncobjapi.dll或wbemcomm.dll放置于C:\Windows\System32\wbem\目录，由Windows管理规范服务自动加载，恶意DLL转发合法函数调用使受影响进程继续正常运行；或将其置于.NET本机映像缓存中，以Microsoft.Exchange.Search.Mdb.ni.dll等名称诱使Exchange加载恶意版本——恶意文件不含真实替换代码，.NET会静默回退到真实库，但在此之前攻击者的原生入口点代码已执行。ESET总结称，这些技术各自见于.NET规范的冷门部分，但“如此刻意地组合于单一工具包中、并专门用于藏身Microsoft Exchange”，实属罕见。

三、地缘政治背景与攻击动机

罗马尼亚案例的政治含义尤为突出。CerealBox被配置为收集涉及北约和欧盟机构地址的邮件，这与俄罗斯情报机构的长期优先事项一脉相承。ESET同时指出，该行动可能与地区紧张态势相关：自2025年初以来，罗马尼亚多次报告俄罗斯无人机在其领土附近或境内坠落的事件，引发罗马尼亚当局强烈反应，并呼吁北约在黑海地区部署任务。在此背景下，一个能够静默截取罗马尼亚政府与北约、欧盟机构之间通信的工具，其情报价值不言而喻。

哈萨克斯坦案例则发生在另一重政治语境中。自2026年1月起，哈萨克斯坦 reportedly 开始遣返部分俄罗斯流亡者和政权批评者——这些人曾在俄罗斯全面入侵乌克兰后于哈萨克斯坦找到相对安全的栖身之所。ESET分析认为，攻陷哈萨克斯坦政府机构符合一种作战场景：操作者希望获得关于俄流亡者的可见性，而这些人的信息为哈萨克斯坦当局所知、却尚未出现在任何遣返名单上。ESET还注意到一个耐人寻味的细节：哈萨克斯坦境内的恶意活动在2026年1月15日——即“旧新年”（Old New Year，俄罗斯及部分邻国仍非正式庆祝的节日）之后一天——出现激增。“恶意软件不庆祝节日，但它的操作者会。”

四、影响与后果

从直接影响看，Cereal使攻击者能够在数月时间内静默监控政府邮件流量，筛选并窃取特定邮件，且发件人和收件人均无从察觉。从防御角度看，该行动构成了结构性挑战：由于不存在外部C&C基础设施，传统基于域名/IP阻断和C&C流量检测的防御手段几乎失效；恶意代码藏身于合法Exchange进程和.NET缓存之中，磁盘痕迹极少；CerealHermit提供了第二条无网络通道。ESET总结称，Cereal工具包表明，对Turla而言，Exchange服务器“不仅仅是邮件服务器——它们是持久的收集点、内部执行枢纽，以及藏匿高级.NET技战术的适宜环境”。

五、最新进展与未来影响

ESET已于2026年11月10日发布技术博客和白皮书《Exchange for breakfast: Turla's Cereal tricks are not for kids》，并在GitHub仓库中提供完整的入侵指标（IoC）列表，同时通过X（原Twitter）、BlueSky和Mastodon发布相关信息，开放威胁情报订阅与APT情报报告服务。然而，攻击者初始访问向量和窃取信息总量仍未被确定，相关调查可能仍在进行，也可能受限于日志留存和取证条件而无法完全还原。

从更长远的角度看，Cereal所代表的技术方向值得持续关注。将受害者自身面向互联网的Exchange服务器用作C&C枢纽，消除了攻击者维持专用基础设施的成本和暴露风险；对.NET原生映像缓存、VTable Fixups和非托管入口点的滥用，表明攻击者具备在合法软件运行时层面“寄生”的工程能力。这些技战术一旦被其他APT组织借鉴或复用，将进一步提高政府与国防领域邮件系统的防御难度。对于使用Microsoft Exchange的政府机构而言，仅依赖边界防护和C&C黑名单已不足以应对此类威胁，需要对Exchange进程内存、传输代理加载链、.NET缓存完整性以及异常Web请求路径进行更深层次的监测与取证。

六、结论：Turla为何能做到

Cereal之所以能够实现如此高水平的隐蔽与持久，根源在于三重能力的叠加：其一，对Microsoft Exchange内部机制的深度掌握——从传输代理处理程序的包装到EdgeTransport.exe进程内注入，均要求对Exchange邮件管道结构有长期逆向积累；其二，对.NET运行时底层机制的娴熟运用——VTable Fixups、本机映像缓存滥用、非托管入口点等技巧的组合，反映出在.NET tradecraft上不寻常的投入；其三，国家级资源支撑下的工程化开发框架——大量结构相同、按任务编译的CerealRunner二进制文件，暗示存在自动化编译与打包命令的内部平台。三者合一，使Turla得以将受害者的Exchange服务器从被动的邮件中转站，改造为集命令接收、内存执行、邮件收集与外传于一体的“寄生式”间谍枢纽。这一案例再次提醒，国家级网络间谍行动正日益倾向于在合法基础设施内部建立长期、低可见度的收集节点，防御重心也须相应地从“阻断已知恶意基础设施”转向“发现合法进程中的异常行为”。

参考文献

1. ESET Research.Exchange for breakfast: Turla's Cereal tricks are not for kids. WeLiveSecurity, 2026年11月10日.https://www.welivesecurity.com/en/eset-research/exchange-for-breakfast-turlas-cereal-tricks-are-not-for-kids/
2. Antoniuk, Daryna. \"Russian hackers compromised government email servers to steal NATO, EU correspondence.\"Recorded Future News (The Record), 2026年11月10日.https://therecord.media/russia-hackers-espionage-romania-kazakhstan
3. ESET. \"ESET Research: Russia-aligned Turla group uses novel Exchange tool to spy on EU, NATO emails.\"GlobeNewswire, 2026年11月10日. 转载于Post Register.http://globenewswire.com
4. \"EU- en NAVO-mails onderschept door Exchange-tool van aan Rusland gelinkte Turla-groep, zegt ESET Research.\"TechPulse, 2026年11月10日.https://techpulse.be/wire/507515/eu-en-navo-mails-onderschept-door-exchange-tool-van-aan-rusland-gelinkte-turla-groep-zegt-eset-research/
5. \"EU- & NAVO-mails onderschept door TURLA Exchange-tool – zegt ESET Research.\"Computable.nl, 2026年11月10日.https://www.computable.nl
6. Wang, Tiffany. \"Russian Hackers Hijack Exchange Servers to Spy on NATO, EU.\"BankInfoSecurity, 2026年11月10日.https://www.bankinfosecurity.com