Mã độc Cereal của nhóm Turla biến máy chủ Exchange của cơ quan chính phủ thành trạm gián điệp

Hãng bảo mật ESET vừa công bố bộ mã độc mới đặt tên là Cereal, được nhóm tin tặc Turla cài trên máy chủ Microsoft Exchange của hai cơ quan chính phủ, một ở Kazakhstan và một ở Romania. Theo Help Net Security, bộ công cụ viết bằng .NET này sao chép những email được chọn lọc ngay trong luồng chuyển thư mà không cần máy chủ điều khiển riêng của kẻ tấn công. ESET quy kết Cereal cho Turla với độ tin cậy cao; Turla (còn gọi là Snake) được đánh giá rộng rãi là thuộc cơ quan FSB của Nga.

Máy chủ của nạn nhân thành máy chủ điều khiển

ESET phát hiện bộ công cụ ngày 28/11/2025 tại một cơ quan chính phủ Kazakhstan, sau đó tìm ra nạn nhân ở Romania, bị xâm nhập từ ngày 23/12/2025. Tại Romania, mô-đun thu thập email được cấu hình để lọc thư gửi tới hoặc nhận từ các địa chỉ của NATO và EU.

Điểm đặc biệt là kẻ tấn công gửi lệnh tới chính máy chủ Exchange đang mở ra Internet, ngụy trang thành lưu lượng Outlook Web Access, Autodiscover và ActiveSync thông thường. Với người giám sát mạng, nó trông như người dùng đang kiểm tra email. Backdoor chính CerealNeuron lắng nghe trên các đường dẫn giống Exchange như /owa/sdds/ và /autodiscover/proxyservice/. Yêu cầu được mã hoá đúng và vượt qua các bước kiểm tra toàn vẹn sẽ được giải mã và thực thi; mọi yêu cầu khác nhận về trang lỗi Exchange trông hợp lệ. ESET không xác định được địa chỉ IP mà nhóm tin tặc kết nối tới. Nói cách khác, nạn nhân đang tự vận hành máy chủ điều khiển cho kẻ tấn công.

Mỗi lệnh là một chương trình .NET nhỏ đã biên dịch, làm đúng một việc: lấy hộp thư, truy vấn Active Directory, trích xuất LSA secrets (thông tin đăng nhập Windows lưu cục bộ), đọc hoặc xoá tệp. Một backdoor thứ hai, CerealHermit, không dùng mạng mà đọc tệp lệnh đã mã hoá trên ổ đĩa, làm kênh dự phòng.

Kỹ thuật ẩn mình chưa từng được ghi nhận

Turla từng lạm dụng transport agent của Exchange, loại plugin can thiệp vào luồng thư để lọc spam. Nhưng agent đăng ký sẽ hiện trong cấu hình Exchange. Thành phần CerealBox tránh điều đó bằng cách tự chèn vào tiến trình EdgeTransport.exe (tiến trình chuyển thư) và bao bọc các trình xử lý của những transport agent đã nạp sẵn trong bộ nhớ. Thư vẫn chạy bình thường, không có agent mới nào xuất hiện. CerealBox giữ lại các thư có tệp đính kèm .doc, .docx hoặc .pdf khớp danh sách người gửi, người nhận, tiêu đề hoặc tên tệp định sẵn, rồi nén, mã hoá và lưu trên đĩa chờ lấy đi. Theo ESET, kỹ thuật móc vào dịch vụ chuyển thư từ bên trong như vậy chưa từng được ghi nhận ở họ mã độc nào trước đây.

Bộ nạp (loader) là thành phần duy nhất ghi xuống đĩa dưới dạng tệp .NET dễ nhận diện, nhưng nó chạy mã gốc trước khi .NET runtime khởi động nên người phân tích đọc mã .NET chỉ thấy một chương trình không làm gì. Loader giả danh ncobjapi.dll hoặc wbemcomn.dll trong thư mục WMI để được nạp tự động, hoặc nằm trong bộ đệm native image của .NET với tên như Microsoft.Exchange.Search.Mdb.ni.dll.

Góc nhìn NTEK

Exchange tự vận hành (on-premises) vẫn phổ biến ở nhiều cơ quan nhà nước và doanh nghiệp lớn tại Việt Nam, và Cereal cho thấy chỉ chặn kết nối ra ngoài hay theo dõi lưu lượng lạ là chưa đủ. Các đơn vị nên vá Exchange đầy đủ, hạn chế công bố OWA, ActiveSync ra Internet (đặt sau reverse proxy hoặc VPN có xác thực đa yếu tố), giám sát toàn vẹn tệp ở thư mục hệ thống và bộ đệm .NET, triển khai EDR trên máy chủ thư và định kỳ săn mối đe doạ trên các hệ thống trọng yếu. Với thư điện tử chứa tài liệu mật, mã hoá đầu cuối giúp giảm thiệt hại ngay cả khi máy chủ bị xâm nhập.

Nguồn: Help Net Security