De aan Rusland gelinkte hackersgroep Turla zou een nieuwe spionagetool inzetten om mails van overheden mee te lezen, waaronder berichten van of naar de Navo en de EU. Dat meldt beveiligingsbedrijf Eset, dat de toolset Cereal doopte. Turla wordt beschouwd als onderdeel van de Russische inlichtingendienst FSB.
Eset trof Cereal eind 2025 aan bij twee overheidsorganisaties, in Kazachstan en Roemenië. In Roemenië was de tool ingesteld om mails te verzamelen die verband houden met adressen van Navo- en EU-instellingen, wat volgens Eset aansluit bij oudere prioriteiten van de Russische inlichtingendiensten.
Hackersgroep Turla, ook bekend als Snake, is volgens Eset al minstens sinds 2004 actief.
Hoe werkt Cereal?
Cereal is ontworpen voor Microsoft Exchange-servers, de mailservers waarlangs organisaties hun mailverkeer laten lopen. De tool brengt de getroffen organisatie in kaart, ontvangt opdrachten en voert die uit in het geheugen.
Een passieve backdoor, die wacht op instructies, geeft toegang tot het interne netwerk. Een mailmodule zit verstopt in legitieme Exchange-processen, kan de mailstroom inkijken en beïnvloeden en verzamelt geselecteerde berichten. Matías Porolli, de Eset-onderzoeker die de nieuwe Turla-dreiging ontdekte, schetst hoe dat in de praktijk verloopt: ‘Een ambtenaar bij een nationale overheidsinstantie stuurt een mail naar een collega bij een internationale militaire alliantie. Het bericht is via een Microsoft Exchange-server verzonden, zoals het hoort, en er is niets verdachts aan te merken.’
Maar niets is wat het lijkt. Porolli: ‘Voor de mail het gebouw verlaat, analyseert een stukje code het bericht, beoordeelt het als interessant en maakt er een kopie van die dan naar onbevoegden wordt doorgesluisd, terwijl de oorspronkelijke mail gewoon zijn weg vervolgt.’
Moeilijk te blokkeren
Eset vond geen externe infrastructuur om de tool aan te sturen. De gehackte Exchange-server doet dat zelf, waardoor blokkeren moeilijker is. Veel code draait bovendien in het geheugen, zodat er op schijf weinig sporen achterblijven.
Het geeft wel aan hoe geraffineerd hacking intussen verloopt. Volgens Eset is Cereal behoorlijk geavanceerd in vergelijking met de meeste recente APT-gevallen die het onderzocht.
De mededeling van Eset laat open hoe de aanvallers binnenraakten en hoeveel mails zijn buitgemaakt. De link met Turla en de Russische FSB komt bovendien van Eset zelf.
Of zoals Porolli stelt: ‘Op een gecompromitteerde Exchange-server is de meest interessante activiteit niet altijd wat in de inbox van een gebruiker belandt.’
