قامت مجموعة التهديد المدعومة من الدولة الروسية Turla بنشر مجموعة أدوات خبيثة جديدة تُسمى 'Cereal' لاعتراض رسائل البريد الإلكتروني على خوادم Microsoft Exchange في المنظمات الحكومية، وفقًا لشركة الأمن السيبراني ESET. تم توثيق الهجمات في أواخر عام 2025، وتم اكتشافها في البداية في هيئة حكومية في كازاخستان.
تم العثور على مجموعة أدوات Cereal أيضًا في وكالة حكومية في رومانيا، حيث قامت بجمع المراسلات البريدية بشكل انتقائي مع ممثلي الناتو والاتحاد الأوروبي. تم اختراق المنظمة الرومانية في 23 ديسمبر 2025.
تم تصميم Cereal للتجسس الإلكتروني طويل الأمد والخفي، حيث يتميز بحجم صغير على القرص ويستخدم بنية تحتية أقل عرضة للكشف. تشمل مكوناته CerealBox، الذي يحقن في عملية EdgeTransport.exe الخاصة بـ Exchange، وCerealNeuron، الذي يستمع لطلبات الويب المشفرة الواردة لتنفيذ الأوامر.
تم تكوين البرمجية الخبيثة لجمع الرسائل بشكل انتقائي التي تحتوي على مرفقات مستندات مثل ملفات .DOC و.DOCX و.PDF. لاحظت ESET أن خادم Exchange المخترق كان بمثابة نقطة التحكم الوحيدة، دون استخدام بنية تحتية خارجية للتحكم والسيطرة في الهجوم.
ترتبط Turla بجهاز الأمن الفيدرالي الروسي (FSB)، وقد كانت نشطة لأكثر من عقدين. لا يزال ناقل الوصول الأولي المستخدم لتسليم البرمجية الخبيثة غير معروف.