俄羅斯駭客入侵羅馬尼亞政府Exchange伺服器，意圖竊取北約及歐盟相關郵件

資安業者ESET近日揭露，與俄羅斯情報機構有關的駭客組織Turla，利用過去未曝光的惡意程式工具組Cereal，入侵哈薩克及羅馬尼亞政府機構的Microsoft Exchange伺服器，藉此蒐集情報。ESET於2025年11月發現哈薩克政府機構遭入侵，後續也在羅馬尼亞政府機構發現相同工具組。在羅馬尼亞的案例中，惡意程式被設定為蒐集與北大西洋公約組織（NATO）及歐盟機構往來的郵件。

CerealBox是Cereal工具組中負責蒐集郵件的元件，可直接從Exchange郵件傳輸流程中，擷取含有Word或PDF附件，且符合特定寄件者、收件者或主旨等條件的郵件，不需要另外註冊郵件傳輸代理程式。研究人員指出，過去還沒有發現其他惡意程式採用相同的郵件攔截手法。

Cereal的另一個元件CerealNeuron則會利用看似正常Exchange流量的Web請求接收遠端命令，讓攻擊者能向遭入侵的伺服器下達指令，不需要由受害伺服器主動連線至外部命令與控制（C&C）伺服器。由於郵件仍可正常傳送，CerealBox也不會留下新增郵件傳輸代理程式的組態紀錄，企業若只依靠對外連線監控、Exchange組態檢查及郵件服務運作狀態，可能難以察覺這類攻擊。