Malware Cereal Turla: Hackers Rusia Curi Email Server Exchange Pemerintah

Kelompok hacker yang didukung negara Rusia, Turla, memakai perangkat spionase siber bernama Cereal untuk membobol server Microsoft Exchange milik dua lembaga pemerintah di Kazakhstan dan Romania. Malware modular ini dirancang mengumpulkan email sensitif dalam jangka panjang tanpa jejak berarti di disk.

Temuan itu berasal dari laporan perusahaan keamanan siber asal Slovakia, ESET, yang dibagikan kepada The Hacker News sebelum dipublikasikan. Serangan terhadap dua entitas pemerintah tersebut terdeteksi pada akhir 2025.

Turla juga dikenal dengan nama Snake. Kelompok ini masuk dalam kategori ancaman state-sponsored yang berafiliasi dengan Rusia dan sudah lama menjadi salah satu aktor spionase siber paling senior.

Bagaimana Cereal Bekerja di Server Exchange

Cereal bukan satu program tunggal. Ia kumpulan komponen yang saling terhubung dan berjalan di atas server Microsoft Exchange. Komponen-komponen itu menerima perintah, menjalankannya di memori, memetakan jaringan yang terinfeksi, lalu memanen email yang dianggap penting.

ESET menyebut ada delapan bagian dalam kerangka Cereal yang bekerja bersama. Berikut rinciannya:

• CerealRunner — dijalankan operator sebagai jalur untuk menanam komponen lain, termasuk CerealLoader, CerealSprinter, CerealIron, dan CerealMoth.
• CerealLoader — memuat dan menjalankan assembly .NET dari file terenkripsi di disk, lalu memicu CerealSprinter.
• CerealSprinter — bekerja mirip CerealRunner, dipakai mendekripsi dan menjalankan CerealNeuron, CerealHermit, dan CerealBox.
• CerealIron — injektor yang memungkinkan pemuatan assembly .NET dari proses non-.NET.
• CerealMoth — menerima assembly dan nama metode, memuatnya, lalu menjalankan metode yang ditentukan.
• CerealNeuron — backdoor pasif yang mendengarkan permintaan web masuk pada jalur yang tampak seperti lalu lintas Exchange normal.
• CerealHermit — varian CerealNeuron yang membaca perintah dari file terenkripsi di disk dan tidak punya fungsi jaringan sendiri.
• CerealBox — modul pemanen email yang menyaring dan mengumpulkan pesan dengan menyuntikkan diri ke layanan transport Exchange, EdgeTransport.exe.

Nama Cereal diambil dari kebiasaan alat ini memakai serialisasi secara masif. Serialisasi adalah proses mengubah struktur data atau keadaan objek menjadi format yang mudah disimpan, dikirim, dan direkonstruksi.

Kriteria Email yang Diburu CerealBox

CerealBox menjadi komponen paling sensitif dalam rangkaian ini. Setelah menempel pada EdgeTransport.exe, modul itu mendapat pandangan langsung atas aliran email yang melintas di server.

Dari situ, malware mencari pesan dengan lampiran DOC, DOCX, atau PDF. Pesan itu lalu dicocokkan dengan sejumlah daftar yang sudah ditanam permanen di kode, mencakup alamat pengirim, alamat penerima, baris subjek, atau nama lampiran.

Email yang lolos filter dikompresi, dienkripsi, dan ditampung dalam file di disk. Setelah itu dikirim keluar dan dihapus melalui perintah CerealNeuron.

Pada serangan ke organisasi pemerintah Romania, CerealBox dikonfigurasi untuk mengumpulkan email yang melibatkan alamat institusi NATO dan Uni Eropa. Pola itu sejalan dengan prioritas strategis Rusia.

Perintah yang dikirim sebagai program .NET terkompilasi ditangani CerealRunner. Komponen ini membongkar dan menjalankan payload di memori, lalu mengirim hasilnya kembali ke CerealNeuron untuk dieksfiltrasi dalam format terenkripsi.

Kemampuan perintahnya cukup luas. Mulai dari mengambil mailbox atau pesan tertentu, mengantrekan Active Directory untuk komputer, pengguna, grup, dan catatan DNS, menjalankan kueri Windows Management Instrumentation (WMI), mengekstrak LSA Secrets, mendaftar volume snapshot, sampai melakukan operasi file.

Pernyataan ESET dan Penilaian atas Turla

ESET menyebut Cereal sebagai instrumen spionase siber yang dibangun dengan hati-hati untuk operasi jangka panjang yang senyap.

"The Cereal toolset is a carefully constructed instrument for long-term, stealthy cyber espionage," kata ESET. "It leaves little on disk, avoids external infrastructure that could be discovered and blocked, and conceals itself within legitimate Exchange processes."

Pernyataan itu diperkuat penilaian bahwa bagi Turla, server Exchange bukan sekadar server surat. "They are durable collection points, internal execution hubs, and a suitable environment for hiding sophisticated .NET tradecraft," ujar ESET.

Peneliti ESET, Matías Porolli, menyoroti jumlah biner yang hampir identik dalam serangan ini. Masing-masing dikompilasi untuk tugas tertentu.

"The sheer volume of near-identical binaries, each compiled for a specific task, strongly suggests that the operators have an internal framework that automates the compilation and packaging of commands," kata Porolli.

Dia menambahkan, "Combined with a codebase built around modular, interchangeable components, the impression is one of a mature, well-engineered platform – rather than a loose collection of scripts."

ESET menegaskan kombinasi teknik tersebut menunjukkan pelaku memiliki pemahaman mendalam soal cara kerja internal Microsoft Exchange.

Jejak Serangan dan Vektor Akses Awal

Sampai laporan dipublikasikan, jalur akses awal yang dipakai untuk menanam Cereal belum diketahui. Namun Turla punya rekam jejak panjang dalam metode infiltrasi tertentu.

Kelompok ini dikenal menjalankan spear-phishing, serangan watering hole, dan adversary-in-the-middle (AitM) di tingkat penyedia layanan internet. Ketiganya merupakan pintu masuk yang lazim bagi operasi spionase berskala negara.

Dua korban yang teridentifikasi adalah entitas pemerintah di Kazakhstan dan Romania. Serangan terdeteksi pada akhir 2025, dan laporan ESET menyoroti bahwa perangkat ini dirancang untuk bertahan lama di dalam jaringan korban.

Yang membuat Cereal sulit dilacak adalah ketiadaan infrastruktur command-and-control (C2) eksternal. Alih-alih menghubungi server di luar, malware memakai server Exchange yang sudah dikompromikan sebagai pusat kendali.

Perintah pun dikirim dalam bentuk program .NET terkompilasi terpisah. Cara ini menghindari pola komunikasi yang biasanya menjadi titik deteksi sistem keamanan jaringan.

Dampak dan Langkah Pengamanan Server Exchange

Dampak paling langsung dari operasi ini adalah bocornya korespondensi pemerintah. Pada kasus Romania, sasaran mencakup komunikasi dengan institusi NATO dan Uni Eropa, yang berarti informasi diplomatik dan kebijakan bisa ikut terekspos.

Karena Cereal bersembunyi di dalam proses Exchange yang sah, jejaknya di disk minim. Deteksi berbasis indikator file konvensional menjadi kurang efektif.

Bagi organisasi yang mengelola Exchange, laporan ini menegaskan perlunya pemantauan pada layanan transport email, bukan hanya pada endpoint pengguna. Modul CerealBox menyuntik ke EdgeTransport.exe, titik yang jarang diawasi secara mendalam.

Pemeriksaan integritas proses, pemantauan pemuatan assembly .NET yang tidak lazim, serta audit jalur web yang menyerupai lalu lintas Exchange menjadi langkah yang relevan. Organisasi juga perlu mewaspadai keberadaan file terenkripsi yang tidak dikenal di server surat.

ESET belum mengungkap berapa volume email yang berhasil dieksfiltrasi dari kedua korban. Laporan lengkapnya dijadwalkan dipublikasikan melalui kanal riset perusahaan tersebut.

Analisis Redaksi

Yang membuat kasus Cereal penting bukan sekadar nama malware barunya, melainkan pilihan Turla menjadikan server Exchange sebagai markas. Selama ini Exchange sering dipandang sebagai layanan internal yang relatif aman karena berada di balik tembok jaringan. Cereal membalik asumsi itu: server surat dipakai sebagai pusat komando, tempat eksekusi, sekaligus gudang data. Tidak ada infrastruktur luar yang bisa diblokir, tidak ada domain aneh yang bisa dicurigai.

Kecenderungan ini memperlihatkan pergeseran taktik spionase siber. Alih-alih membangun jaringan C2 yang mahal dan mudah dilacak, aktor negara memanfaatkan infrastruktur sah milik korban. Biaya operasionalnya kecil, sementara nilai intelijennya tinggi karena email pemerintah memuat dokumen kebijakan, komunikasi diplomatik, dan lampiran rahasia. Filter yang menyasar alamat NATO dan Uni Eropa di Romania menunjukkan operasi ini punya arah politik yang jelas, bukan sekadar eksploitasi acak.

Bagi institusi di Indonesia, terutama yang masih menjalankan Exchange on-premise, laporan ini layak dibaca sebagai peringatan. Deteksi yang hanya mengandalkan antivirus dan pemindaian file tidak akan menangkap komponen yang berjalan di memori dan menyamar sebagai proses sah. Yang dibutuhkan adalah visibilitas pada layanan transport email, pemantauan anomali pemuatan assembly .NET, dan audit berkala terhadap jalur web internal. Selama server surat dianggap sekadar alat korespondensi, ia akan terus menjadi titik buta yang mahal.

Sumber: eset.com