Dois organismos governamentais, um no Cazaquistão e outro na Roménia, viram os seus servidores Microsoft Exchange convertidos em pontos de recolha de correio eletrónico por um conjunto modular de ferramentas .NET a que a ESET chamou Cereal. A análise, assinada pelo investigador Matías Porolli e divulgada a 10 de novembro de 2026 pela ESET Research, responsabiliza o grupo de ciberespionagem Turla. As mensagens trocadas com endereços da NATO e da União Europeia eram o alvo da configuração encontrada no caso romeno.
Resposta rápida: A ESET atribui ao grupo Turla, associado ao FSB russo, um novo malware chamado Cereal, encontrado em servidores Exchange governamentais no Cazaquistão e na Roménia. O malware copia mensagens selecionadas sem interromper a entrega e recebe ordens através do próprio servidor da vítima, sem infraestrutura externa. Não há vulnerabilidade nem CVE associados, porque a forma de entrada inicial não é conhecida. Quem gere Exchange local deve cruzar os indicadores publicados pela ESET com os seus registos e reportar suspeitas ao CERT.PT.
O que foi descoberto e quando
Os casos conhecidos resumem-se, para já, a duas organizações governamentais nacionais, em geografias habituais na atividade do Turla. Dois elementos sustentam a atribuição, feita com elevado grau de confiança: a presença, nas mesmas intrusões, de outro componente já ligado publicamente ao grupo e parecenças de conceito com malware mais antigo.
| Data | Acontecimento |
|---|---|
| 28 de novembro de 2025 | Primeira deteção do conjunto de ferramentas, num organismo governamental do Cazaquistão |
| 23 de dezembro de 2025 | Data do comprometimento da vítima romena, identificada depois de a ESET afinar as suas regras de deteção |
| 15 de janeiro de 2026 | Pico de atividade no Cazaquistão, um dia depois do chamado Ano Novo Antigo, festa informal ainda assinalada na Rússia |
| 10 de novembro de 2026 | Publicação da investigação da ESET |
O vetor de entrada inicial nos dois servidores permanece por esclarecer na investigação publicada. Por essa razão, não existe identificador CVE nem pontuação CVSS associados a esta campanha, e não há uma lista de versões do Exchange afetadas. O Cereal descreve o que os atacantes fazem depois de já estarem dentro do servidor.
Um servidor de comando que é o da própria vítima
Nenhum servidor de comando e controlo externo entra nesta operação: as ordens chegam ao próprio Exchange da vítima, exposto à Internet, camufladas de tráfego normal de Outlook Web Access, Autodiscover e ActiveSync. Os defensores ficam assim sem endereços ou domínios externos que possam detetar, bloquear ou desativar.
Caminhos como /owa/sdds/ e /autodiscover/proxyservice/, que imitam serviços legítimos do Exchange, funcionam como porta de entrada para os pedidos destinados ao CerealNeuron, a backdoor principal. Quem bater à porta sem o pedido certo vê apenas uma página de erro igual às do Exchange. A origem das ligações dos operadores continua desconhecida.
Execução de comandos em memória, reconhecimento da organização comprometida e recolha seletiva de mensagens são as funções que a ESET atribui ao conjunto. Os componentes descritos pela empresa incluem os seguintes:
| Componente | Função |
|---|---|
CerealNeuron | Backdoor passiva, sem comandos próprios, que executa o código transportado em binários CerealRunner recebidos pela rede |
CerealHermit | Variante sem funções de rede, alimentada por ficheiros cifrados em disco; serve de canal alternativo |
CerealRunner | Invólucro de binários cifrados, usado para entregar comandos e outros componentes |
CerealSprinter | Parente do CerealRunner limitado a carregar e executar outros componentes |
CerealBox | Módulo de recolha de correio, injetado no serviço de transporte do Exchange |
CerealLoader | Carregador, e a única peça guardada em disco sem cifra |
Como o correio é copiado sem deixar rasto na configuração
O interesse do Turla pelos agentes de transporte do Exchange tem antecedentes, mas registar um agente novo deixa marcas na configuração. A recolha de correio do CerealBox acontece dentro do EdgeTransport.exe: os manipuladores dos agentes já carregados em memória passam a estar envolvidos por código malicioso, e a configuração do Exchange permanece sem qualquer agente adicional. Nenhuma outra família de malware conhecida recorria até agora a este método de interceção por dentro do serviço de transporte, garante a ESET.
A entrega normal das mensagens segue sem interrupções, o que ajuda a que nada pareça anormal aos utilizadores. Ficheiros comprimidos e cifrados, deixados em disco, servem de depósito temporário às mensagens selecionadas até serem levantados por um comando enviado ao CerealNeuron.
Indicadores de comprometimento conhecidos
A lista completa de indicadores está no repositório GitHub da ESET e no relatório técnico sobre o Turla. Os elementos abaixo constam da investigação ou de relatos técnicos baseados nela.
| Indicador | Contexto |
|---|---|
/owa/sdds/ | Caminho de escuta do CerealNeuron, com aparência de Outlook Web Access |
/autodiscover/proxyservice/ | Caminho de escuta do CerealNeuron, com aparência de Autodiscover |
ncobjapi.dll em C:\Windows\System32\wbem | Disfarce do carregador numa das cadeias, aproveitando o carregamento automático pelo serviço WMI |
wbemcomn.dll | Nome adotado pelo carregador numa segunda cadeia |
Microsoft.Exchange.Search.Mdb.ni.dll | Exemplo de nome dado a ficheiros CerealLoader escondidos na cache de imagens nativas do .NET |
EdgeTransport.exe | Processo legítimo do Exchange onde o CerealBox é injetado |
O que podem fazer as equipas que gerem Exchange
A investigação não traz uma lista formal de recomendações. Os passos seguintes são boas práticas gerais, definidas a partir dos indicadores publicados:
- Cruzar os indicadores do repositório da ESET com os dados de EDR e SIEM dos servidores Exchange.
- Procurar nos registos do IIS pedidos aos caminhos
/owa/sdds/e/autodiscover/proxyservice/. - Verificar se existe um ficheiro
ncobjapi.dllna pastaC:\Windows\System32\wbeme validar a assinatura e a origem de ficheiroswbemcomn.dlle das bibliotecas na cache de imagens nativas do .NET. - Monitorizar os módulos carregados pelo
EdgeTransport.exe. Listar os agentes de transporte registados não chega, porque o CerealBox não regista nenhum. - Em caso de suspeita, preservar uma imagem da memória antes de reiniciar o servidor, já que grande parte do código só existe em memória.
- Manter o Exchange atualizado e reduzir a sua exposição à Internet. São medidas prudentes, embora não haja uma falha específica a corrigir neste caso.
Quem é o Turla e porquê estes alvos
O Serviço Federal de Segurança russo (FSB) é a entidade a que o Turla, também chamado Snake, é habitualmente associado, e o rasto do grupo recua pelo menos a 2004. Secret Blizzard e Venomous Bear são outras designações em uso. A telemetria da ESET mostra uma preferência do grupo pelo antigo espaço soviético e pela sua vizinhança europeia, onde se situam cerca de 70% dos países visados desde 2022.
Para o caso romeno, a ESET admite uma ligação às tensões regionais: os incidentes com drones russos junto ou dentro do território do país, relatados desde o início de 2025, e os apelos a uma missão da NATO no mar Negro. No Cazaquistão, o pano de fundo apontado é a deportação, noticiada desde janeiro de 2026, de exilados russos e críticos do regime. Nada no que foi apurado permite afirmar que os dissidentes fossem o objetivo.
O Exchange já era terreno conhecido do grupo: a ESET analisou em 2019 o LightNeuron, em circulação desde 2014, cujo método passava por um agente de transporte registado e por ordens escondidas em anexos PDF e JPG. O próprio nome CerealNeuron remete para o Neuron, família que o NCSC britânico documentou e associou ao Turla em 2017.
Porque é que isto importa em Portugal
Não há qualquer indicação pública de vítimas portuguesas. Ainda assim, Portugal é membro da NATO e da União Europeia, e os organismos públicos nacionais trocam correio com as mesmas instituições que interessavam aos atacantes na Roménia. O caso mostra também que um servidor de email pode ser vigiado durante muito tempo sem ligações externas suspeitas e sem alterações visíveis na configuração.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), uma intrusão deste tipo num servidor de correio pode constituir um incidente a notificar ao CNCS, através do CERT.PT. Como as caixas de correio contêm quase sempre dados pessoais, a cópia de mensagens pode ainda ser uma violação de dados ao abrigo do RGPD, com dever de comunicação à CNPD no prazo de 72 horas. As PME com Exchange local raramente são alvo de espionagem estatal, mas as verificações acima aplicam-se a qualquer organização.
Perguntas frequentes
O que é o Cereal?
É um conjunto modular de ferramentas .NET descrito pela ESET e atribuído ao grupo Turla. A sua marca é uma intrusão lenta, cuidadosa e de longa duração, construída à volta de servidores Microsoft Exchange, com cópia seletiva de correio e execução de comandos em memória.
Existe uma atualização de segurança que resolva o problema?
Não há uma correção específica. A forma como os atacantes entraram nos servidores dos dois governos ficou fora do que a ESET divulgou, pelo que não existe um CVE associado. Manter o Exchange atualizado continua a ser recomendável, mas a resposta a esta ameaça passa sobretudo pela deteção.
Como posso saber se o meu servidor Exchange foi afetado?
Compare os indicadores publicados pela ESET no GitHub com os seus registos. Procure pedidos aos caminhos /owa/sdds/ e /autodiscover/proxyservice/, bibliotecas inesperadas na pasta C:\Windows\System32\wbem e módulos estranhos carregados pelo EdgeTransport.exe. Em caso de suspeita, contacte o CERT.PT.
Quem é o grupo Turla?
É um grupo de ciberespionagem com atividade conhecida desde pelo menos 2004, geralmente considerado parte do FSB russo. Organismos governamentais, missões diplomáticas e entidades de defesa na Europa, na Ásia Central e no Médio Oriente figuram no seu historial de alvos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela ESET Research, pelo comunicado oficial da ESET e em detalhes técnicos reportados pela Help Net Security.