ESET hat am 10. November 2026 eine bislang nicht dokumentierte Spionagesoftware namens Cereal vorgestellt, die sich auf kompromittierten Microsoft-Exchange-Servern festsetzt und gezielt E-Mails abgreift. Die Forscher ordnen das Werkzeug mit hoher Sicherheit der russlandnahen Gruppe Turla zu. Bei einem Fall in Rumänien war die Sammlung auf Korrespondenz mit Institutionen von NATO und EU ausgerichtet.
Die Analyse ist insbesondere für Betreiber selbst verwalteter Exchange-Server relevant: Die Schadsoftware arbeitet innerhalb regulärer Serverprozesse. Der E-Mail-Versand kann dabei äußerlich normal weiterlaufen, obwohl Nachrichten heimlich ausgewählt und kopiert werden.
Zwei Regierungsstellen betroffen
ESET fand erste Teile des Toolsets am 28. November 2025 bei einer Regierungsorganisation in Kasachstan. Nach Anpassung der Erkennung entdeckten die Analysten eine zweite betroffene Organisation in Rumänien; deren Kompromittierung datieren sie auf den 23. Dezember 2025. Die jetzt veröffentlichte Untersuchung beschreibt damit zuvor beobachtete Angriffe und keine erst am Veröffentlichungstag begonnene Kampagne.
Der rumänische Fall zeigt den Zweck der Spionage besonders deutlich: Die Malware war darauf eingestellt, bestimmte Nachrichten mit Bezug zu NATO- und EU-Adressen zu erfassen. ESET nennt diese beiden Organisationen als belegte Opfer. Eine allgemeine Kompromittierung von Exchange-Installationen lässt sich daraus nicht ableiten.
Wie Cereal den Mailverkehr unbemerkt erfasst
Das Modul CerealBox wird nach Angaben von ESET in den Exchange-Transportprozess EdgeTransport.exe eingeschleust. Es klinkt sich in bestehende Verarbeitungsabläufe ein, statt als neuer Transportagent sichtbar in der Exchange-Konfiguration aufzutauchen. Die eigentliche Zustellung läuft anschließend weiter.
Für die Sammlung werden Nachrichten anhand vorgegebener Kriterien ausgewählt, darunter beteiligte Adressen, Betreffbestandteile und Dokumentanhänge. Cereal ist modular aufgebaut: Andere Komponenten übernehmen das Nachladen von Code, die Ausführung von Befehlen und die spätere Abholung gesammelter Daten.
Der angegriffene Server dient zugleich als Zugangspunkt
Besonders ungewöhnlich ist die Steuerung. ESET beobachtete keine gesonderte externe Befehlsserver-Infrastruktur. Stattdessen nimmt eine passive Hintertür auf dem ohnehin erreichbaren Exchange-Server passend präparierte Webanfragen entgegen. Dadurch können verdächtige Zugriffe zwischen gewöhnlichen Anfragen an Exchange-Dienste untergehen.
Ein reiner Blick auf ausgehende Verbindungen zu bekannten Schadservern wäre in solchen Fällen zu wenig. Für die Untersuchung auffälliger Exchange-Server gewinnen vielmehr Prozessintegrität, unerwartete Module, ungewöhnliche Webzugriffe und Veränderungen an ausführbaren Dateien an Bedeutung.
Was Exchange-Administratoren jetzt prüfen sollten
Die Veröffentlichung ist kein Beleg für eine neue, allgemein ausnutzbare Exchange-Sicherheitslücke und enthält keine Aufforderung, sämtliche Systeme wegen dieser konkreten Kampagne als kompromittiert zu behandeln. Bei besonders schutzbedürftigen oder bereits verdächtigen Installationen ist jedoch eine gezielte Prüfung sinnvoll:
- Den Patchstand, die Erreichbarkeit von Exchange-Webdiensten und die tatsächliche Angriffsfläche dokumentieren. Sicherheitsupdates bleiben notwendig, ersetzen aber keine Untersuchung einer bereits erfolgten Kompromittierung.
- Ungewöhnliche Module, DLL-Ladevorgänge und Abweichungen in Exchange-Transport- und Windows-Systemprozessen untersuchen. Ein unauffälliger Eintrag in der Transportagentenverwaltung genügt bei der beschriebenen Technik nicht als Entlastung.
- Webserver- und Sicherheitsprotokolle auf ungewöhnliche Anfragemuster sowie Auffälligkeiten bei Konten, Diensten und Administratorrechten prüfen. Dabei reguläre Exchange-Verbindungen nicht pauschal als Angriff einstufen.
- Bei konkretem Verdacht die von ESET veröffentlichten technischen Indikatoren mit eigenen Telemetriedaten abgleichen und den Vorfall forensisch abklären lassen, bevor Spuren durch unkoordinierte Bereinigungsversuche verloren gehen.
Die wichtigste Unterscheidung: Ein vollständiger Patchstand schützt vor bekannten ausnutzbaren Schwachstellen, liefert aber für sich genommen keinen Nachweis, dass ein früher eingedrungener Angreifer keinen Zugriff mehr besitzt. Eine tatsächliche Infektion erfordert eine eigene Untersuchung und gegebenenfalls Wiederherstellung vertrauenswürdiger Systeme.
Primärquellen
ESET Research, 10. November 2026: Technische Untersuchung zum Cereal-Toolset; ergänzend ESET-Pressemitteilung. Technische Indikatoren stellt ESET in seinem Turla-IoC-Repository bereit.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten