Turla usa il malware Cereal per spiare le email sui server Exchange

Il gruppo Turla, indicato come legato alla Russia e conosciuto anche con il nome Snake, sta usando un nuovo insieme di strumenti chiamato Cereal per violare server Microsoft Exchange di organizzazioni governative e raccogliere email [70][73]. La segnalazione arriva dalle analisi di sicurezza rilanciate dalla stampa specializzata [73]. Si tratta di spionaggio informatico, non di un attacco con richiesta di riscatto.

Secondo la ricostruzione, l'obiettivo di Cereal è intercettare la posta elettronica sulle macchine Exchange delle vittime, sottraendola senza segnali evidenti [70][73]. Exchange resta un bersaglio ricorrente perché concentra comunicazioni interne e documenti di lavoro: chi riesce a leggerne il traffico ottiene molto senza dover bucare i singoli computer degli utenti [70].

L'attribuzione è esplicita: le fonti descrivono Turla come un attore legato allo Stato russo e attivo da anni nello spionaggio [70]. Il nome Snake circola da tempo come sinonimo dello stesso gruppo [70]. Non vengono indicati i paesi né gli uffici colpiti, e non è chiaro quante organizzazioni siano state compromesse prima della scoperta [70][73].

Resta aperta anche la parte difensiva: le fonti non dicono se esista una correzione o una contromisura specifica per Cereal, né se le vittime siano state avvisate [70][73]. Finché mancano questi elementi, l'indicazione pratica è la sorveglianza dei server Exchange esposti e la verifica delle tracce lasciate dagli strumenti descritti [70].

Il caso si inserisce in una stagione densa di allerte: nelle stesse ore la Cybersecurity and Infrastructure Security Agency statunitense ha segnalato lo sfruttamento attivo di falle in OpenSSH, GPUStack, FreeSWITCH e IBM Aspera Faspex [44]. Sono vicende diverse, ma il messaggio comune è che i servizi esposti e non aggiornati restano la porta d'ingresso preferita.