ESET ha documentado un conjunto de herramientas que convierte servidores Microsoft Exchange comprometidos en puntos de espionaje y mando. La actividad, atribuida con alta confianza al grupo ruso Turla, fue observada en organismos públicos de Kazajistán y Rumanía; en el segundo caso, el componente de recogida seleccionaba correos relacionados con la OTAN y la Unión Europea.
Qué ha encontrado ESET
El conjunto recibe el nombre de Cereal y está diseñado para permanecer en un servidor Exchange durante largo tiempo. ESET describe varias piezas: una para observar y filtrar correo, otra para recibir órdenes a través de rutas que parecen servicios legítimos de Exchange y otras que empaquetan tareas .NET para ejecutarlas en memoria.
El informe publicado el 10 de noviembre sitúa los dos compromisos a finales de 2025. ESET encontró primero el toolset en una organización gubernamental de Kazajistán y, tras ajustar sus detecciones, localizó la misma familia en un organismo gubernamental rumano comprometido el 23 de diciembre de 2025. La divulgación es reciente; los hechos técnicos investigados no ocurrieron esta semana.
Exchange se convirtió en el canal
La pieza más llamativa es CerealBox. El componente se inserta en el proceso EdgeTransport.exe y abusa de manejadores ya existentes del transporte de mensajes. Así puede examinar el flujo del correo sin registrar un agente de transporte nuevo y sin interrumpir la entrega normal.
En Rumanía, ESET observó reglas para seleccionar correspondencia enviada a o recibida de direcciones institucionales de la OTAN y la UE. También se buscaban mensajes con adjuntos de documentos. La selección concreta es importante: no se ha descrito una copia indiscriminada de todos los buzones, sino una recogida guiada por remitentes, destinatarios, asuntos y tipos de archivo que interesaban a los operadores.