新闻中心
——“因为我们的存在，让您的邮件系统更有价值！”
打补丁也没用？Turla 把 Exchange 服务器变成了 “间谍中转站”
Cereal最特别的设计，是不依赖独立的外部 C2 服务器。攻击者将失陷的 Exchange 服务器本身作为指令接收载体，指令通过伪装成正常OWA、Autodiscover、ActiveSync的加密 Web 请求下发。从网络流量上看，和员工日常访问邮箱的流量高度相似，很难直接区分。
邮件窃取环节隐蔽性极强：Cereal 的模块注入 Exchange 负责邮件流转的合法进程 EdgeTransport.exe。它不会注册新的 Transport Agent，而是直接篡改现有代理的消息处理逻辑。邮件照常收发、队列无异常，在邮件完成投递之前，符合筛选规则的邮件就被悄悄复制留存。
ESET 暂未确定本次攻击的初始入侵入口。Turla 过往常用鱼叉钓鱼、水坑攻击、中间人攻击等方式实现初始拿下，本次投放路径大概率也在同类手段之中。
Cereal 组件以加密形式存放于磁盘，运行时在内存解密执行，磁盘痕迹很少。更关键的是它专门绕过管理员最常用的排查入口：Transport Agent 列表、Exchange 配置面板都不会出现异常条目。
这不是一个依靠打补丁就能防御的威胁。补丁解决已知漏洞，而它是入侵成功之后的驻留窃取手段，考验运维对 Exchange 进程内部行为、文件异常的深度检测能力。
- 检查.NET Native Image Cache：Cereal会伪装成类似Microsoft.Exchange.Search.Mdb.ni.dll的可信文件名放置在此目录，重点核查目录内名称看似正常、但签名/来源存疑的DLL；
- 审计系统目录可疑DLL，重点关注被Exchange相关进程加载的陌生文件；
- 复核Exchange访问日志，重点盯OWA、Autodiscover、ActiveSync端点的异常请求，Cereal的指令正是通过这类路径下发；
- 不要把Transport Agent列表作为唯一判定依据：仅核查Agent无法确认无风险，排查需要下沉到进程注入、Native Image Cache层面；
- 持续监控异常进程行为：虽然Cereal不使用传统外置C2，但注入EdgeTransport.exe的窃取行为、后续攻击者的交互操作，依然可以在进程监控、文件完整性审计中捕捉线索。
Cereal 带来的警示，不在于新增一款恶意程序，而在于它选择了一条绕开补丁、绕开常规管理界面的路径，直接寄生在邮件传输进程内部。 补丁只能封堵已知漏洞，日常巡检大多只看服务报错、队列状态；而 Turla 这类攻击，瞄准的是邮件在服务器内部流转处理的瞬间。对于还在运行自建 Exchange 的企业，安全巡检不能停留在 “服务正常”，还要持续关注：Exchange 的进程，有没有在执行意料之外的操作。
声明： 本文信息基于 ESET 2026 年 11 月 10 日公开研究报告及安全媒体披露整理，仅作安全预警参考，不构成变更实施的决策依据。
