חוקרי ESET תיארו ערכה שלא תועדה קודם, בשם Cereal, שבה משתמשת הקבוצה הרוסית Turla (המכונה גם Snake) לאיסוף שקט של מיילים משרתי Microsoft Exchange.
הפרטים
הערכה מורכבת משמונה רכיבים, ובהם מרכיבי טעינה שמריצים קוד .NET מקבצים מוצפנים, דלת אחורית פסיבית שמאזינה לבקשות ווב שמחקות תעבורת Exchange רגילה, ורכיב לקצירת מיילים שמוזרק לשירות ההעברה של השרת. אין שרת פיקוד חיצוני: השרת שנפרץ משמש בעצמו לערוץ הפיקוד, והפקודות מגיעות כתוכניות .NET שמורצות בזיכרון. מעט נשאר על הדיסק.
לפי ESET, הערכה נצפתה בסוף 2025 בשתי ישויות ממשלתיות, אחת בקזחסטן ואחת ברומניה. הרכיב האוסף מחפש הודעות עם קבצי DOC, DOCX או PDF התואמות רשימות קשיחות של שולחים, נמענים, נושאים או שמות קבצים; במקרה הרומני דווח שהוגדר לאסוף מיילים הקשורים לכתובות של נאט"ו והאיחוד האירופי. וקטור הגישה הראשוני לא זוהה בסיקור שקראנו.
נקודות לשים לב
- זה רלוונטי בעיקר לגופים ממשלתיים ודיפלומטיים עם שרתי Exchange מקומיים; הפעילות שתועדה ממוקדת ולא רחבה.
- בגלל היעדר תעבורה חיצונית חריגה, זיהוי ברשת קשה. התמקד בתהליכים: מודולים או הזרקות חריגות ל-
EdgeTransport.exe, וקבצים מוצפנים לא מוכרים בשרת. - הערכה יכולה גם לשלוף סודות LSA ולשאול את Active Directory, ולכן חשד לפגיעה מצדיק החלפת אישורים ולא רק ניקוי השרת.
- אינדיקטורים ומדדי זיהוי מלאים נמצאים בדוח של ESET עצמו; הסיקור החדשותי אינו כולל אותם.
מקורות: The Hacker News · ESET WeLiveSecurity
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
