Le nouveau maliciel Cereal de Turla copiait en silence des courriels gouvernementaux sur des serveurs Exchange

Des chercheurs d’ESET ont publié les détails de Cereal, un ensemble d’outils malveillants jusque-là inconnu, conçu pour vivre à l’intérieur des serveurs de messagerie Microsoft Exchange. Dans un rapport publié le 10 novembre 2026 (en anglais), ESET dit avoir trouvé Cereal dans deux organismes gouvernementaux nationaux, l’un au Kazakhstan et l’autre en Roumanie, et l’attribue avec une confiance élevée à Turla, un groupe d’espionnage de longue date largement considéré comme faisant partie du Service fédéral de sécurité russe (FSB).

Ce n’est pas un maliciel qui se répand sur les ordinateurs personnels. C’est un outil d’espionnage ciblé pour les organisations qui gèrent leurs propres serveurs Exchange. Nous en parlons parce qu’il montre jusqu’où un attaquant bien équipé ira pour lire des courriels sans se faire remarquer.

Ce qu’ESET a trouvé

ESET dit avoir d’abord trouvé ces outils le 28 novembre 2025 sur un serveur Exchange d’un organisme gouvernemental kazakh. Après avoir amélioré ses détections, l’entreprise les a retrouvés dans un organisme gouvernemental roumain compromis le 23 décembre 2025. En Roumanie, la partie qui recueille les courriels était réglée pour repérer les messages envoyés à des adresses de l’OTAN et de l’Union européenne, ou reçus de celles-ci. ESET dit que l’activité au Kazakhstan a bondi le 15 janvier 2026.

Le billet d’ESET ne décrit pas comment les attaquants sont d’abord entrés dans ces serveurs. ESET dit que l’analyse technique complète se trouve dans un livre blanc, avec des indicateurs de compromission sur son GitHub.

Comment Cereal fonctionne

ESET décrit un ensemble de petits composants .NET qui travaillent ensemble. Les plus importants :

• CerealBox lit le courrier au passage. Plutôt que d’installer un « agent de transport » Exchange visible (un module légitime qui voit chaque message), il est injecté dans le processus même qui achemine le courrier dans Exchange et enveloppe les agents déjà chargés. Le courrier continue de circuler normalement, et rien de nouveau n’apparaît dans les réglages d’Exchange. Il garde des copies des messages avec des pièces jointes .doc, .docx ou .pdf qui correspondent à des listes d’expéditeurs, de destinataires, d’objets ou de noms de fichiers, puis les compresse, les chiffre et les stocke sur le disque pour les récupérer. ESET dit que cette technique n’avait jamais été documentée pour un maliciel.
• CerealNeuron est la porte dérobée. Il ne contacte pas de serveur. Il attend des requêtes chiffrées sur des chemins web qui ressemblent au trafic normal d’Outlook sur le web, d’Autodiscover et d’ActiveSync, exécute toute requête qui passe ses vérifications et redirige le reste vers une page d’erreur Exchange d’apparence ordinaire. Le serveur de messagerie de la victime, exposé à Internet, devient ainsi le point de contrôle, et il n’y a aucun serveur d’attaquant à trouver ou à bloquer. ESET dit ne pas avoir pu identifier les adresses IP des opérateurs.
• CerealRunner livre chaque commande sous forme de petit programme compilé, exécuté en mémoire : par exemple, extraire des boîtes de courriel par Exchange Web Services, interroger Active Directory, lister des processus ou lire des identifiants stockés par Windows. ESET en a trouvé de nombreuses copies presque identiques, ce qui laisse croire à un outil automatisé pour les fabriquer.

ESET documente aussi des astuces inhabituelles pour cacher le chargeur, dont du code qui s’exécute avant le point d’entrée normal de .NET, un déguisement en fichier de Windows Management Instrumentation et des fichiers placés dans le cache .NET de bibliothèques précompilées pour qu’Exchange les charge par erreur.

Ce qui est démontré, et ce qui est déduit

Les deux compromissions, les composants et leur fonctionnement sont des constats directs d’ESET sur les serveurs infectés. L’attribution à Turla est une évaluation d’ESET, fondée sur l’utilisation simultanée d’un composant déjà publiquement lié à Turla et sur des ressemblances avec d’anciens maliciels de Turla comme Neuron, documenté par le National Cyber Security Centre du Royaume-Uni en 2017. Les remarques d’ESET sur l’intérêt de ces cibles pour la Russie, comme le rôle de la Roumanie dans l’OTAN ou les exilés russes au Kazakhstan, sont du contexte, pas des preuves.

Ce que cela signifie pour vous

Si vous ne gérez pas de serveur Exchange, il n’y a rien à changer sur vos appareils. Les personnes touchées sont les gouvernements dont le courrier a été lu et les gens qui leur ont écrit. C’est un rappel que la sécurité d’un courriel dépend de chaque serveur par lequel il passe, pas seulement de votre boîte de réception.

Ce que vous pouvez faire (si vous gérez Exchange)

1. Vérifiez vos serveurs Exchange avec les indicateurs de compromission d’ESET, y compris des DLL inattendues dans le dossier WMI et dans le cache d’images natives de .NET.
2. Gardez Exchange entièrement à jour, et limitez les parties accessibles par Internet. Les chemins où se cache CerealNeuron sont ceux que bien des organisations doivent exposer : surveillez leurs journaux pour des requêtes inhabituelles plutôt que de les supposer inoffensives.
3. Utilisez une protection des terminaux qui surveille la mémoire et l’injection de processus sur les serveurs, pas seulement sur les postes. Cereal laisse très peu de traces sur le disque.
4. Demandez-vous si un service de messagerie hébergé vous conviendrait mieux. Gérer Exchange vous-même, c’est assumer ce genre de risque.

Comment Frame peut aider

Cereal vole le contenu des courriels d’organisations, pas les mots de passe du public, donc il n’y a pas de fuite à ajouter. Frame peut chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame n’analyse pas les serveurs de messagerie.

À lire aussi

• Des sites piégés ont livré des exploits voleurs de données à des iPhone et Android non à jour : une autre campagne d’espionnage attribuée à un groupe étatique russe, visant cette fois les téléphones.
• La France dit qu’une unité iranienne a saboté les frigos d’environ 700 supermarchés : une autre attribution étatique publiée cette semaine, avec un but très différent.

Sources

• ESET Research (WeLiveSecurity), Exchange for breakfast: Turla’s Cereal tricks are not for kids (en anglais), 10 novembre 2026
• Help Net Security, Turla’s Cereal malware turns victims’ Exchange servers into spy hubs (en anglais), 10 novembre 2026