تحلیل‌های اخیر نشان می‌دهد که گروه Turla، عامل تهدید (Threat Actor) وابسته به دولت روسیه، سرورهای ایمیل Microsoft Exchange را به زیرساختی تحت کنترل مهاجمان تبدیل کرده است تا پیام‌های مربوط به سازمان پیمان آتلانتیک شمالی (NATO) و اتحادیه اروپا را رصد کند.
مجموعه ابزار Cereal و قابلیت‌های فنی
این عملیات از یک ابزار جدید و مستند نشده به نام Cereal استفاده می‌کند. Cereal مجموعه‌ای از بدافزارهای ماژولار .NET است که به‌طور خاص برای اجرا روی سرورهای Microsoft Exchange طراحی شده است. قابلیت‌های اصلی این ابزار عبارتند از:
- دریافت و اجرای دستورات در حافظه (In-memory execution) برای کاهش ردپای دیجیتال.
- نقشه‌برداری از سازمان قربانی (Organization mapping).
- جمع‌آوری و استخراج پیام‌های ایمیل منتخب.
ویژگی متمایز این ابزار، ترکیب تکنیک‌های نوین در بهره‌برداری از ساختارهای داخلی Exchange و متدهای غیرمعمول اجرای .NET است که نشان‌دهنده توانایی Turla در ایجاد نفوذهای طولانی‌مدت، آهسته و دقیق است.
اهداف عملیاتی و ابعاد ژئوپلیتیک
این بدافزار ابتدا در یک سازمان دولتی در قزاقستان شناسایی شد، جایی که ایمیل‌های خروجی را به‌صورت مخفیانه رصد و پیام‌های مورد نظر را برای مهاجمان ارسال می‌کرد. مدتی بعد، همین ابزار در سیستم‌های دولتی رومانی شناسایی شد که برای هدایت ایمیل‌های ارسالی یا دریافتی از ناتو و اتحادیه اروپا پیکربندی شده بود.
یافته‌ها نشان می‌دهد که ۷۰ درصد از اهداف این گروه از سال ۲۰۲۲ تاکنون، جمهوری‌های سابق شوروی یا کشورهای اروپایی بوده‌اند که پیش‌تر نزدیکی زیادی با بلوک شرق داشتند.
تکنیک‌های پیشرفته پنهان‌سازی و C2
به جای استفاده از یک درپوش (Backdoor) کلاسیک، این گروه از زنجیره‌ای از اجزا برای آلوده کردن سرورها استفاده کرده است:
- استقرار پی‌لودهای (Payloads) رمزنگاری شده روی دیسک.
- جای‌گذاری اسمبلی‌های .NET درون اسمبلی‌های دیگر.
- بارگذاری DLLهای مشکوک توسط پروسه‌های قانونی ویندوز.
- اجرای کدهای غیرمجاز توسط سرویس‌های Exchange.
یکی از پیچیده‌ترین جنبه‌های این حمله، عدم وجود زیرساخت خارجی برای فرماندهی و کنترل (C2) است. در این مدل، خودِ سرور Exchange قربانی به عنوان زیرساخت C2 مورد استفاده قرار می‌گیرد. بک‌دور اصلی روی سرور منتظر درخواست‌های وب می‌ماند که شبیه به ترافیک عادی به نظر می‌رسند. این رویکرد باعث می‌شود شناسایی IPهای اپراتور از طریق ردیابی شبکه بسیار دشوار شود، زیرا ترافیک مخرب در کنار سرویس‌های قانونی همزیستی می‌کند و تنها در صورت رمزنگاری صحیح و عبور از بررسی‌های یکپارچگی (Integrity checks)، رمزگشایی می‌شود.
سوابق عملیاتی
گروه Turla سابقه طولانی در هدف قرار دادن سرورهای Microsoft Exchange دارد و از سال ۲۰۱۴ با استفاده از بک‌دور LightNeuron، دستورات مخفی در پیوست‌های PDF یا JPEG ایمیل‌ها را اجرا می‌کرد.
به‌روزرسانی (نوامبر 10, 2026 — therecord.media)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که این عملیات در نوامبر ۲۰۲۵ (November 2025) بر روی سرورهای دولتی در قزاقستان و رومانی شناسایی شده است. در رومانی، هدف اصلی جمع‌آوری مکاتبات مربوط به نهادهای ناتو (NATO) و اتحادیه اروپا (EU) بوده است.
در این میان، یک مؤلفه جدید با نام CerealBox شناسایی شده است که مستقیماً در سرویس‌های Microsoft Exchange جاسازی می‌شود تا ترافیک ایمیل را پایش کند. نکته کلیدی این حملات، استفاده از خودِ سرورهای اکسچنجِ قربانی به عنوان یک مرکز عملیاتی (Operational Hub) برای مدیریت دستورات است؛ این تکنیک باعث می‌شود مهاجمان بدون نیاز به ارتباط با زیرساخت‌های C2 خارجی، از شناسایی شدن توسط سیستم‌های امنیتی جلوگیری کنند.
