Turla 악성 도구, 루마니아 정부 Exchange서 NATO·EU 메일 골라 저장
ESET Research는 Cereal 도구 묶음이 카자흐스탄과 루마니아 정부기관의 Exchange 서버에서 사용됐으며, 이를 러시아 연계 Turla에 높은 신뢰도로 귀속했다고 밝혔습니다. 루마니아 서버의 CerealBox는 NATO·EU 관련 주소와 첨부파일 조건에 맞는 메일을 골라 암호화해 저장했고, CerealNeuron은 운영자의 명령 통로로 쓰였습니다. 최초 침투 경로와 반출 자료의 규모는 확인되지 않았습니다.
ESET Research의 Matías Porolli 연구원은 2026년 11월 10일 공개한 분석에서 Cereal 악성 도구 묶음이 카자흐스탄과 루마니아 정부기관의 Exchange 서버에서 사용된 사례를 보고했습니다. ESET은 이 도구를 러시아 연계 사이버 첩보 그룹 Turla에 높은 신뢰도로 귀속했습니다. NATO·EU 관련 주소를 겨냥한 메일 선별 설정은 루마니아 정부기관 서버에서 확인됐습니다.
Exchange는 조직의 메일 송수신을 처리하는 서버입니다. ESET이 CerealBox라고 이름 붙인 모듈은 메일 흐름을 담당하는 Exchange 프로세스 EdgeTransport.exe에 주입됐습니다. Exchange에는 스팸 필터링처럼 메일 처리 기능을 덧붙이는 전송 에이전트가 있습니다. CerealBox는 새 에이전트를 등록하는 대신 기존 에이전트의 처리 함수에 검사 코드를 끼워 넣었습니다. 메시지를 먼저 살핀 뒤 원래 처리 함수로 넘겨 메일은 계속 전달됐고, Exchange 설정에도 새 에이전트가 나타나지 않았습니다.
CerealBox는 아무 메일이나 복사하지 않았습니다. .doc, .docx 또는 .pdf 첨부가 있고, 발신자나 수신자 주소·제목 일부·첨부파일 이름이 미리 준비된 목록과 맞으면서 제외 목록에는 걸리지 않는 메시지를 골랐습니다. 루마니아 사례의 목록에는 nato.int와 europa.eu 기관 주소, NATO·EU 관련 정부 업무에 관여하는 것으로 보이는 소수 개인이 포함됐습니다. 조건에 맞은 메시지는 압축·암호화해 파일로 저장했습니다.
CerealNeuron은 감염된 Exchange 서버에서 운영자의 요청을 기다리는 백도어였습니다. 먼저 외부로 접속하지 않고, Outlook 웹메일이나 자동 설정 등 정상 Exchange 서비스의 웹 경로와 비슷한 주소로 들어오는 요청을 받았습니다. ESET은 별도의 외부 명령 서버를 관측하지 못했다고 밝혔습니다. 운영자는 이 경로로 명령을 보내 CerealBox가 저장한 파일을 반출하거나 삭제할 수 있었습니다. 감염된 Exchange 서버는 메일 수집처이자 공격자 명령의 통로로 쓰였습니다.
ESET은 Cereal 도구 대부분이 .NET 어셈블리이며, 암호화된 페이로드는 디스크에 존재하고 구성요소 대부분은 실행 때 메모리에서 풀려 작동한다고 설명했습니다. 식별 가능한 .NET 파일 형태로 디스크에 기록된 구성요소는 CerealLoader뿐이었습니다. 기존 메일 처리 함수에 연결해 메시지를 수집하는 CerealBox의 기법은 다른 악성코드에서 문서화된 사례가 없는 방식이라고 ESET은 밝혔습니다.
ESET은 카자흐스탄과 루마니아 정부기관의 Exchange 서버가 인터넷에 노출돼 있었고 취약점 악용으로 침입했을 가능성을 제시했지만, 최초 침투 방법은 확인하지 못했습니다. Cybernews는 연구진이 실제로 가져간 데이터의 양도 알지 못한다고 전했습니다.