Il gruppo di spionaggio russo Turla (noto anche come Snake) utilizza un nuovo toolset, battezzato «Cereal», per violare i server Microsoft Exchange e raccogliere le email. Secondo l’analisi di ESET, l’attività è stata osservata contro due entità governative in Kazakistan e Romania, in una campagna di intelligence di lungo periodo.
Il toolset Cereal
Cereal è descritto come un insieme di strumenti modulari, pensato per raccogliere informazioni e mantenerne il controllo nel tempo. A differenza delle campagne rumorose, che cercano un impatto immediato, questo tipo di attività privilegia la persistenza silenziosa: l’obiettivo è restare dentro il più possibile, leggendo comunicazioni e documenti.
I server di posta sono un bersaglio privilegiato perché concentrano informazioni sensibili: messaggi, allegati, contatti e spesso elementi di autenticazione. Compromettere un sistema di posta equivale ad aprire l’archivio storico delle comunicazioni di un’organizzazione.
Chi è Turla
Turla è un gruppo noto da anni, associato ad attività di spionaggio attribuite alla Russia. La sua caratteristica è la specializzazione: tecniche curate, infrastrutture resilienti e obiettivi selezionati, più che campagne massive. Per questo intercettarne le tracce richiede monitoraggio continuo e capacità di analisi, non solo aggiornamenti di sicurezza.
Gli obiettivi governativi in due Paesi diversi mostrano come il gruppo operi in modo trasversale, adattando gli strumenti al bersaglio. Le aziende non sono immuni: fornitori, consulenti e infrastrutture condivise possono diventare un trampolino verso obiettivi più protetti.
Cosa fare per proteggersi
Per chi gestisce Exchange on-premise la priorità è il patching tempestivo, applicato con costanza e non solo in emergenza. Contano poi l’hardening del server, la limitazione dei servizi esposti e la verifica dei permessi e delle regole di inoltro, spesso usate dagli attaccanti per esfiltrare messaggi senza destare sospetti.
Sul piano del monitoraggio, conviene controllare gli accessi anomali, le creazioni di caselle o regole inattese e i tentativi di autenticazione falliti. L’autenticazione a più fattori, la segmentazione della rete e la registrazione dettagliata degli eventi riducono la finestra di manovra di un attaccante che ha già ottenuto un primo accesso.
Un ultimo elemento riguarda la preparazione: quando si sospetta un’intrusione di questo tipo, la capacità di ricostruire cosa è stato letto e quando fa la differenza nella valutazione del danno. Conservare log completi, allineare gli orologi dei sistemi e adottare una gestione centralizzata degli eventi permette di rispondere con dati concreti. La difesa contro attori specializzati non si esaurisce nel patching: richiede visibilità, procedure e una vigilanza costante sugli ambienti di posta, che restano uno dei bersagli più appetibili.
In sintesi
Il caso Turla conferma che i server di posta restano un bersaglio di alto valore per lo spionaggio. Ada Consulting affianca le organizzazioni nella messa in sicurezza di Exchange, nel patching e nel monitoraggio degli accessi ai sistemi di posta.
https://thehackernews.com/2026/11/russian-turla-hackers-use-new-cereal.html