Cereal：外部C&Cを用いずExchangeを制御する侵害ツールセット｜ブログ(ほぼこもセキュリティニュース)

ESET Researchは2026年11月10日に調査報告「Exchange for breakfast: Turla’s Cereal tricks are not for kids」を公表しました。
ロシアの高度持続的脅威（APT）グループ「Turla」（別名：Snake、Waterbug）が展開する新型マルウェアツールセット「Cereal」の脅威を分析・要約したレポートです。
Turlaはカザフスタンおよびルーマニアの政府機関のMicrosoft Exchangeサーバを侵害し、長期的なサイバースパイ活動を実施していました。
Cerealはモジュール構造を持つ.NETベースのツール群で、被害組織のExchangeサーバそのものを自律的な中継・制御拠点に変貌させ、外部インフラ（外部C&C）を介さずに標的メールの傍受や内部偵察を行う点に最大の特徴があります。
特徴的な部分をみてみましょう。

外部C&Cサーバの非存在（被害サーバのC&C化）
- 解説
  攻撃者は外部に専用のC&C（Command and Control）サーバを構えず、インターネットに公開されている被害組織のExchangeサーバ自身を着信・制御ポイントとして利用します。
- 手口
  バックドアモジュール「CerealNeuron」が、正規のExchange Webサービス（/owa/sdds/ や /autodiscover/proxyservice/ など）に偽装したURL宛ての受信リクエストをパッシブに監視します。
  暗号化と整合性検証を通過したHTTPリクエストのみをコマンドとして実行し、窃取データもそのHTTPレスポンスに含めて攻撃者へ返送します。
  それ以外の通信には本物のExchangeエラーページを返すため、外部からの調査やネットワーク遮断を極めて困難にします。
Exchangeトランスポートパイプラインの直接フック（CerealBox）
- 解説
  Exchangeのメール配送エンジン（EdgeTransport.exe など）にインジェクションを行い、配送パイプライン（Transport Pipeline）に直接フックしてメール処理プロセスを掌握します。
- 手口
  メールが受信者のメールボックスに届く前のパイプライン段階で通信をフック・フィルタリングします。
  ルーマニア政府機関への攻撃では、NATOやEU関連のアドレスを含む通信を自動選別・抽出し、暗号化してディスク上に一時保管（ステージング）していました。
  この手口はこれまでの既知のマルウェアには見られない独自の手法です。
タスクごとに個別生成される使い捨て実行ファイル
- 解説
  バックドア自体には複雑な組み込みコマンドを持たせず、オペレーターが実行したいタスク（WMIによるプロセス・接続の列挙、LSA Secretsなどの資格情報窃取、シャドウコピーの調査など）ごとに個別の小さな実行ファイルを送信し、CerealNeuronがそれをメモリ上で直接ロードして実行します。
- 手口
  これらバイナリは構造が統一されており、攻撃者がコマンドの自動コンパイル・パッケージングを行う高度な内部フレームワークを保有していることを示唆しています。
高度な.NETメモリ内実行と難読化技術
- 解説
  ディスク上に.NETアセンブリとして検知可能な形で書き込まれるのは初期ローダー（CerealLoader）のみであり、それ以外のコンポーネントは暗号化コンテナとして配置されます。
- 手口
  ネイティブ画像キャッシュ（NGEN）の悪用や非マネージドエントリポイント、非.NETプロセスへのインジェクション（CerealIron）を駆使し、メモリ上で展開・実行することで、従来のシグネチャベースのセキュリティ対策やEDRによる検知を回避します。

Turlaの「Cereal」ツールセットは、Microsoft Exchangeのアーキテクチャへの深い理解と、高度なステルス設計が融合した極めて危険な標的型サイバースパイツールです。
従来の「外部C&C宛ての不審なアウトバウンド通信を検知・遮断する」という境界防御モデルを完全に無力化しており、正規のインバウンドWebトラフィックの中に紛れ込んで活動します。
そのため、本脅威に対抗するにはネットワーク境界の監視だけでなく、Exchange関連プロセス（特にトランスポート関連サービス）への異常なメモリインジェクションの検知、正規ディレクトリ配下の不審なURLパスへの着信ログ監査、およびディスク・メモリ上における.NETアセンブリの挙動分析といった多層的な内部監視の強化が不可欠です。

Exchange for breakfast: Turla’s Cereal tricks are not for kids
https://www.welivesecurity.com/en/eset-research/exchange-for-breakfast-turlas-cereal-tricks-are-not-for-kids/