ESET odhalil nový malvér, ktorý tajne číta e-maily. Stopy vedú k známej ruskej hackerskej skupine

Kybernetická špionáž predstavuje pre štátne inštitúcie a vládne organizácie čoraz väčšie riziko. Hackeri sa totiž pri takýchto operáciách nesnažia ukradnúť peniaze ani vyradiť dôležité systémy z prevádz. V mnohých prípadoch im úplne stačí získať tichý a dlhodobý prístup k citlivej e-mailovej komunikácii, interným dokumentom a utajovaným informáciám, ktoré im presne odhalia zámery, plány či zákulisné kroky jednotlivých úradov a ich zahraničných partnerov.

Práve takúto sofistikovanú taktiku dlhodobo využíva obávaná ruská hackerská skupina Turla. Bezpečnostní výskumníci zo spoločnosti ESET nedávno odhalili jej novú a veľmi nebezpečnú kyberšpionážnu kampaň, pri ktorej útočníci nasadili doposiaľ neznámy škodlivý nástroj s názvom Cereal. Tento nástroj dokáže nenápadne preniknúť priamo do vnútorných procesov serverov Microsoft Exchange a potichu zachytávať vybranú, strategicky dôležitú e-mailovú korešpondenciu bez toho, aby vzbudil podozrenie správcov, informuje Bleeping Computer.

Výskumníci zaznamenali prvé reálne prípady týchto útokov koncom roka 2025. Pôvodne odhalili modulárny malvér vytvorený v prostredí .NET na serveri dôležitej vládnej organizácie v Kazachstane. O mesiac neskôr našli rovnakú pokročilú súpravu nástrojov aj v rumunskej štátnej inštitúcii. V tomto druhom prípade sa útočníci veľmi precízne zamerali na citlivú korešpondenciu spojenú s predstaviteľmi Severoatlantickej aliancie a Európskej únie, čo jasne svedčí o vysokom spravodajskom záujme.

Za útokmi stojí celosvetovo známa proruská hackerská skupina

Za týmito operáciami stojí skupina úzko spájaná s ruskou štátnou mocou. Turla patrí medzi celosvetovo známe, dlhodobo aktívne hackerské skupiny, ktoré sa špecializujú výhradne na pokročilú kybernetickú špionáž. Bezpečnostná komunita ju pozná aj pod alternatívnymi názvami ako Snake, Secret Blizzard či Waterbug. Odborníci jej činnosť monitorujú už viac ako dve desaťročia a opakovane ju spájajú s ruskou Federálnou bezpečnostnou službou (FSB).

Na rozdiel od bežných kyberzločincov, ktorých primárnym cieľom býva finančný zisk prostredníctvom vydierania či krádeže peňazí, Turla uprednostňuje dlhodobý zber cenných spravodajských informácií. Jej cieľmi sa tak pravidelne stávajú vládne úrady, diplomatické misie, armádne zložky a ďalšie strategické subjekty. V najnovšej kampani na to využila práve komplexnú súpravu nástrojov Cereal, ktorej hlavná súčasť nesie názov CerealBox a cieli priamo na široko využívané servery Microsoft Exchange.

Súvisí s tým

Ruskí hackeri útočia cez program, ktorý má v počítači takmer každý. Stačí otvoriť škodlivý archív a môžu ti ukradnúť heslá

OdporúčameMalá zmena v stravovaní môže spomaliť starnutie. Vedci preskúmali viac ako 350 štúdií

CerealBox sa dokáže hlboko vložiť do systémového procesu EdgeTransport.exe, ktorý na serveri zodpovedá za spoľahlivý prenos elektronickej pošty. Následne prevezme obsluhu existujúcich transportných agentov. Veľmi prefíkané je, že malvér vôbec nepotrebuje vytvárať žiadny nový transportný agent, čím úspešne obchádza bezpečnostné kontroly a znižuje množstvo systémových zmien, ktoré by mohli správcov upozorniť. Bežná prevádzka e-mailového servera pritom pokračuje ďalej bez akéhokoľvek viditeľného prerušenia či známok zlyhania.

Útočníci navyše nevykonávajú bezhlavé sťahovanie všetkých správ. CerealBox selektívne kontroluje obsah prechádzajúcich e-mailov a vyhľadáva konkrétne správy podľa prísnych, vopred nastavených pravidiel. Nástroj bol nakonfigurovaný tak, aby prednostne zbieral korešpondenciu obsahujúcu dôležité dokumentové prílohy vo formátoch DOC, DOCX a PDF, pričom detailne vyhodnocuje aj údaje o odosielateľoch, príjemcoch a predmetoch správ. Získavajú tak len tie najhodnotnejšie materiály bez zbytočného balastu.

Cereal malvér má ďalšie nebezpečné komponenty

Súprava Cereal však obsahuje aj ďalšie prepojené komponenty. Dôležitou súčasťou je CerealNeuron, ktorý neustále čaká na prichádzajúce šifrované webové požiadavky maskované za bežné služby Exchange. Tieto požiadavky obsahujú konkrétne príkazy na vykonanie. Po ich dešifrovaní sa aktivuje program CerealRunner, ktorý funguje ako obalový modul pre samotný škodlivý kód. Útočníci môžu touto cestou extrahovať e-maily, vyhľadávať informácie v službe Active Directory, preverovať DNS záznamy, ťahať lokálne uložené prihlasovacie údaje alebo čítať a mazať súbory.

Samotné škodlivé aktivity pritom nezanechávajú takmer žiadne stopy na disku, pretože CerealRunner spúšťa zašifrované programy priamo v operačnej pamäti servera. Výskumníci z ESETu poukázali aj na obrovské množstvo takmer identických binárnych súborov, čo dokazuje existenciu vysoko automatizovaného interného kompilačného systému. Mimoriadne zaujímavým faktom je, že útočníci nevyužívajú žiadnu klasickú externú riadiacu infraštruktúru, napadnutý Exchange server slúži ako samostatný riadiaci bod. Alternatívna verzia CerealHermit navyše dokáže čítať príkazy zo šifrovaných súborov na disku, čo slúži ako spoľahlivá záloha. Celý systém tak potvrdzuje extrémny dôraz na nenápadnosť a dlhodobú špionáž.