ESET раскрыла 10 ноября шпионский набор Cereal, который копировал выбранные письма на взломанных серверах Microsoft Exchange. Его модуль CerealBox встраивался в уже работающие обработчики почты: нового элемента в списке транспортных агентов не появлялось, а письма продолжали доходить адресатам.

Транспортные агенты — расширения Exchange, используемые, например, для фильтрации спама. CerealBox внедрялся в процесс доставки и добавлял свой код перед штатной обработкой. Он отбирал письма с документами DOC, DOCX или PDF по заданным отправителям, получателям и другим признакам, затем сохранял зашифрованные копии для последующего вывоза. Поэтому одна проверка списка установленных агентов такого перехватчика не показывала.

Управляющие команды тоже приходили через сервер жертвы. Компонент CerealNeuron ожидал зашифрованные веб-запросы по адресам, похожим на обычные службы Exchange. Отдельной внешней инфраструктуры управления ESET не обнаружила: блокировать привычный исходящий канал к серверу злоумышленников здесь было бы недостаточно.

Исследователи нашли Cereal в государственном учреждении Казахстана 28 ноября 2025 года; компрометацию учреждения Румынии проследили с 23 декабря того же года. В румынском случае фильтры выбирали переписку с адресами НАТО и ЕС. ESET с высокой уверенностью связывает инструменты с Turla по совместному использованию известного вредоносного компонента и сходству с прежними разработками группы. Технический отчёт не устанавливает первоначальный способ входа; две обнаруженные организации не определяют полный масштаб кампании.