INCIDENTERO
Ciberespionaje con Cereal de Turla en servidores Exchange de Rumania y Kazajistán
ESET atribuyó con alta confianza al grupo ruso Turla una campaña que usó el conjunto de herramientas Cereal para recolectar correos en servidores Exchange de dos organismos estatales.
Investigadores de ESET documentaron un conjunto de herramientas hasta ahora no descrito, al que llamaron Cereal, diseñado para operar sobre servidores Microsoft Exchange y recolectar correos de forma encubierta. La firma halló el malware en un organismo estatal de Kazajistán el 28 de noviembre de 2025 y, más tarde, en una institución gubernamental de Rumania comprometida el 23 de diciembre de 2025.
En el caso rumano, el módulo de recolección de correo, CerealBox, fue configurado para detectar mensajes enviados o recibidos por direcciones institucionales de la OTAN y la Unión Europea. Los correos que cumplían los criterios se comprimían, cifraban y almacenaban en archivos en disco, desde donde se exfiltraban y luego se borraban mediante comandos del backdoor CerealNeuron.
ESET atribuyó la actividad con alta confianza al grupo Turla, también conocido como Secret Blizzard, Snake, Uroburos, Waterbug, Venomous Bear o KRYPTON, activo desde al menos 2004 y dedicado al espionaje contra organismos diplomáticos y gubernamentales. La firma señaló que el vector de acceso inicial empleado para instalar Cereal no se conoce.
Una particularidad del conjunto es que no depende de servidores externos de mando y control: CerealNeuron corre en el propio Exchange de la víctima y espera instrucciones en rutas web que imitan tráfico legítimo de Outlook Web Access, Autodiscover y ActiveSync, lo que dificulta su detección en los registros de firewall.
Cómo ocurrió
- Confirmado
- Afirmado o sin verificar
- TurlaGrupo ruso de espionajeConfirmado.
- Acceso inicialVector desconocidoSin verificar.
- Exchange estatalInstalación de CerealConfirmado.
- CerealBoxFiltra correos OTAN y UEConfirmado.
- ExfiltraciónCorreos cifrados y borradosConfirmado.
- RumaniaInstitución gubernamentalConfirmado.
Reconstrucción de DUPIN Noticias según lo informado. Los pasos punteados los afirma el atacante o no están verificados.
¿Hackearon a institución gubernamental rumana? Qué se sabe
Sí. El incidente está confirmado. ESET atribuyó con alta confianza al grupo ruso Turla una campaña que usó el conjunto de herramientas Cereal para recolectar correos en servidores Exchange de dos organismos estatales. Información actualizada al 11 de noviembre de 2026.
ACREDITADO
- ESET identificó el conjunto de herramientas Cereal en servidores Exchange de un organismo estatal de Kazajistán y de una institución gubernamental de Rumania.
- La institución rumana fue comprometida el 23 de diciembre de 2025, según la investigación.
- En Rumania, el módulo CerealBox estaba configurado para recolectar correos vinculados a la OTAN y la Unión Europea.
- ESET atribuyó la actividad con alta confianza al grupo Turla.
- El backdoor CerealNeuron opera sin infraestructura externa de mando y control, usando el propio servidor comprometido.
SIN VERIFICAR O ABIERTO
- Se desconoce cómo lograron los atacantes el acceso inicial a los servidores afectados.
- No se informó cuántos correos ni qué volumen de información se sustrajo.
- No se detalló si los datos exfiltrados fueron utilizados o difundidos.
- Las autoridades rumanas y kazajas no se pronunciaron sobre el alcance del incidente en la información disponible.
Contexto
Turla es un grupo de espionaje cibernético vinculado a Rusia que actúa desde al menos 2004 contra organismos diplomáticos y gubernamentales, empresas privadas y objetivos en Medio Oriente, Asia, Europa, América del Norte y América del Sur, además de países del antiguo bloque soviético. Según ESET, cerca del 70% de los países atacados por el grupo desde 2022 son exrepúblicas soviéticas o países europeos con vínculos históricos con Moscú.
El enfoque sobre correos institucionales rumanos vinculados a la OTAN y la Unión Europea es consistente con los intereses de inteligencia rusos de largo plazo, según la investigación. En Kazajistán, ESET relacionó el aumento de actividad con la deportación de exiliados rusos desde enero de 2026, con un incremento a partir del 15 de enero.
El conjunto Cereal está compuesto por ocho componentes interconectados que permiten recibir comandos, ejecutarlos en memoria, mapear la red infectada y recolectar correos de interés. ESET describió la herramienta como un instrumento construido para espionaje sigiloso de largo plazo, que deja poco rastro en disco y se oculta dentro de procesos legítimos de Exchange.
Qué hacer
- Revisar servidores Exchange Auditar los servidores Exchange expuestos a internet en busca de componentes y rutas web anómalas que imiten tráfico legítimo de Outlook Web Access, Autodiscover o ActiveSync.
- Monitorear tráfico interno Como el backdoor no usa servidores externos, conviene vigilar el tráfico hacia y desde los propios servidores de correo y detectar solicitudes inusuales que no sigan los patrones habituales.
- Proteger cuentas privilegiadas Revisar accesos de administradores de Exchange, aplicar autenticación multifactor y rotar credenciales ante cualquier indicio de compromiso.
- Desconfiar de correos señuelo Ante un incidente de este tipo, los atacantes pueden usar mensajes que lo mencionen como gancho de phishing; verificar remitentes y no abrir adjuntos inesperados.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
