近期安全报告揭示了一种名为“Cereal”的新型恶意软件工具集，其核心特征是不向外发送数据，而是将受感染的微软Exchange服务器本身转化为长期网络间谍活动的指挥中心。该工具集由俄罗斯关联的高级持续性威胁（APT）组织Turla开发，主要针对哈萨克斯坦和罗马尼亚的政府机构及跨国军事联盟成员。 www.fixhdd.cn
如何识别与区分Cereal恶意软件的特征
Cereal与传统恶意软件的关键区别在于其通信机制和隐蔽性。攻击者不再依赖外部命令与控制（C&C）服务器，而是利用受害者自己的Exchange服务器作为“家”。以下是区分该威胁的具体技术特征： www.fixhdd.cn
- 无外部C&C基础设施：恶意软件不建立对外网络连接，而是通过加密请求在本地Exchange服务器上等待指令。这些请求伪装成正常的Outlook Web Access、Autodiscover和ActiveSync流量。
- 内存驻留与无文件攻击：工具集在内存中执行命令，不在磁盘上留下明显痕迹。它通过注入合法的Exchange进程来访问邮件传输管道，利用Exchange的邮件挂钩（mail hook）功能，在邮件发出前静默复制包含特定附件（.doc, .docx, .pdf）的消息。
- 深度集成与持久化：CerealBox组件能够筛选特定发件人、收件人或主题的消息，并收集整个邮箱、提取服务器凭证以及查询Active Directory中的用户、组和计算机信息。这种对Exchange内部工作机理的深刻理解，使其成为高级攻击者的首选。
目前仍不确定的因素
尽管ESET的研究详细描述了Cereal在服务器内部的运作方式，但以下关键信息尚未明确：攻击者最初是如何突破防线进入Exchange服务器的？报告中未提及具体的漏洞利用、凭证窃取或钓鱼邮件手段。这意味着我们尚不清楚初始入侵向量，这使得防御者难以针对性地修补入口点。 技王数据恢复
下一步如何处理与应对
鉴于Cereal的高隐蔽性和对Exchange服务器权限的深度掌控，建议采取以下措施降低风险： 技王数据恢复
- 迁移或退役本地Exchange：如果可能，将Exchange迁移至云端或退役本地部署版本，以减少互联网暴露面。
- 零信任架构：将剩余的本地Exchange服务器视为Tier-0资产，像保护域控制器一样进行严格防护。
- 限制访问：严格限制Outlook Web Access和ActiveSync的互联网暴露范围，仅保留业务必需的部分。
- 监控与狩猎：关注ESET发布的指标，监控Exchange传输进程中意外的代码加载行为，特别是针对ExchangeTransport.exe等关键进程的异常活动。
此事件表明，即使拥有强大的网络边界防御，内部服务器的安全性也至关重要。企业应重新评估其Exchange服务器的安全策略，并密切关注来自Turla及其他高级威胁组织的最新动向。
www.fixhdd.cn
技术审核：邓严军｜技王数据恢复实验室技术总监 技王数据恢复
