Turla Grubu, Hükümet Sunucularından E-posta Çalmak İçin Yeni Cereal Zararlı Yazılımını Kullanıyor

Turla Grubu, Hükümet Sunucularından E-posta Çalmak İçin Yeni Cereal Zararlı Yazılımını Kullanıyor

Rusya ile bağlantılı, devlet destekli bir tehdit aktörü olan Turla (diğer adıyla Snake), daha önce belgelenmemiş Cereal adlı bir siber casusluk araç setini kullanıyor. Bu araç seti, kurbanların Microsoft Exchange sunucularına sızarak e-postaları gizlice toplamak amacıyla tasarlanmıştır.

ESET’in yayın öncesi The Hacker News ile paylaştığı bir rapora göre, bu gelişmiş ve modüler araç, uzun vadeli istihbarat toplama için geliştirilmiştir. 2025 yılının sonlarında Kazakistan ve Romanya’daki iki hükümet kuruluşuna karşı kullanıldığı gözlemlenmiştir.

Slovak siber güvenlik şirketi ESET, “Cereal araç seti, uzun vadeli, gizli siber casusluk için dikkatle oluşturulmuş bir araçtır” açıklamasını yaptı. Şirket ayrıca, “Diskte çok az iz bırakır, keşfedilebilecek ve engellenebilecek harici altyapılardan kaçınır ve kendisini meşru Exchange süreçlerinin içine gizler” ifadelerini kullandı.

ESET, “Cereal araç seti, Turla için Exchange sunucularının sadece posta sunucuları olmadığını; aynı zamanda kalıcı toplama noktaları, dahili yürütme merkezleri ve gelişmiş .NET tekniklerini gizlemek için uygun bir ortam olduğunu göstermektedir” diye ekledi.

Bu araç seti, Microsoft Exchange sunucularında çalışabilen, komutları alıp bellekte yürütebilen, enfekte olmuş ağı haritalandırabilen ve ilgili e-postaları toplayabilen birbirine bağlı bileşenlerden oluşmaktadır. Zararlı yazılımı dağıtmak için kullanılan ilk erişim vektörü bilinmemektedir. Ancak grubun hedefli oltalama (spear-phishing), sulama deliği (watering hole) ve ISP düzeyinde ortadaki adam (AitM) saldırıları gerçekleştirdiği bilinmektedir.

Cereal Zararlı Yazılımının Özellikleri

Cereal adını, araçların veri yapısını veya bir nesnenin durumunu kolayca depolanabilen, iletilebilen ve yeniden yapılandırılabilen bir formata dönüştürme süreci olan serileştirmeyi yoğun bir şekilde kullanmasından almaktadır.

Zararlı yazılımı diğerlerinden ayıran bazı önemli yönler şunlardır:

• Harici bir komuta ve kontrol (C2) altyapısının olmaması; bunun yerine bu amaçla ele geçirilmiş bir Exchange sunucusunun kötüye kullanılması.
• Komutların ayrı, derlenmiş .NET programları şeklinde gönderilmesi.
• Meşru Microsoft Exchange süreçlerine enjekte edilen ve e-posta taşıma hattını manipüle etmek üzere tasarlanmış otomatik bir e-posta toplama modülünün kullanılması.

ESET, bu tekniklerin birleşiminin, tehdit aktörünün Microsoft Exchange’in iç işleyişi hakkında derin bir anlayışa sahip olduğunu gösterdiğini belirtti. Cereal çerçevesi, saldırganlara hassas e-posta verilerine erişim sağlamak için birlikte çalışan sekiz hareketli parçadan oluşmaktadır:

• CerealRunner: Operatör tarafından dağıtılır ve CerealLoader, CerealSprinter, CerealIron ve CerealMoth dahil olmak üzere ek bileşenleri bırakmak için bir yol görevi görür.
• CerealLoader: Diskteki şifreli bir dosyadan bir .NET derlemesini yükler ve çalıştırır, bu da CerealSprinter’ın yürütülmesine yol açar.
• CerealSprinter: CerealRunner’a benzer şekilde çalışır ve CerealNeuron, CerealHermit ve CerealBox’ı şifresini çözmek ve çalıştırmak için kullanılır.
• CerealIron: .NET dışı süreçlerden .NET derlemelerini yüklemeyi ve çalıştırmayı mümkün kılan bir enjektördür.
• CerealMoth: Giriş olarak bir derleme ve bir yöntem adı alır, derlemeyi yükler ve belirtilen yöntemi çalıştırır.
• CerealNeuron: Ele geçirilmiş bir Exchange Sunucusunda çalışan pasif bir arka kapıdır ve CerealRunner ikili dosyalarında bulunan derlemeleri yürütmek için normal Exchange trafiği gibi görünen yollardaki gelen web isteklerini dinler.
• CerealHermit: CerealNeuron’un bir varyantıdır, komutları diskteki şifreli dosyalardan okur ve kendi ağ işlevselliği yoktur.
• CerealBox: Exchange taşıma hizmetine (“EdgeTransport.exe”) enjekte ederek e-posta mesajlarını işleyen, filtreleyen ve toplayan e-posta toplama modülüdür.

E-posta akışına erişim sağladıktan sonra, zararlı yazılım DOC, DOCX veya PDF ekleri içeren mesajları arar ve gönderen adresleri, alıcı adresleri, konu satırları veya ek adları ile ilgili birçok sabit kodlu listeden en az biriyle eşleşenleri hedefler.

Filtreleme kriterlerini karşılayan e-postalar sıkıştırılır, şifrelenir ve diskteki dosyalarda hazırlanır. Daha sonra CerealNeuron komutları aracılığıyla dışarı sızdırılır ve silinir.

Saldırıların Hedefleri ve Kapsamı

Romanya hükümet kuruluşuna yönelik saldırıda, CerealBox’ın NATO ve Avrupa Birliği kurumsal adreslerini içeren e-postaları toplamak üzere yapılandırıldığı belirtilmiştir. Bu durum, Rusya’nın stratejik öncelikleriyle uyumlu bir deseni işaret etmektedir.

Derlenmiş .NET programları olarak teslim edilen komutlar, CerealRunner tarafından işlenir. CerealRunner, yükleri bellekte açar ve yürütür, ardından sonuçları şifreli formatta tehdit aktörüne dışarı sızdırmak üzere CerealNeuron’a geri gönderir.

Komutlar, posta kutularını veya belirli mesajları almayı; bilgisayarlar, kullanıcılar, gruplar ve DNS kayıtları için Active Directory’yi sorgulamayı; Windows Yönetim Araçları (WMI) sorguları çalıştırmayı; LSA Sırlarını çıkarmayı; birim anlık görüntülerini listelemeyi ve dosya işlemlerini gerçekleştirmeyi desteklemektedir.

ESET araştırmacısı Matías Porolli, “Her biri belirli bir görev için derlenmiş, neredeyse aynı ikili dosyaların muazzam hacmi, operatörlerin komutların derlenmesini ve paketlenmesini otomatikleştiren dahili bir çerçeveye sahip olduğunu güçlü bir şekilde göstermektedir” dedi.

Porolli ayrıca, “Modüler, değiştirilebilir bileşenler etrafında inşa edilmiş bir kod tabanıyla birleştiğinde, bu durum gevşek bir komut dosyası koleksiyonundan ziyade olgun, iyi tasarlanmış bir platform izlenimi vermektedir” diye ekledi.