Imagine enviar um email importante, receber a confirmação de que tudo funcionou e seguir o dia normalmente. Agora imagine que, no meio desse processo, alguém tenha conseguido copiar a mensagem sem que você ou o destinatário percebessem.
Parece roteiro de filme de espionagem, mas é justamente o tipo de situação identificado por pesquisadores da ESET em uma investigação divulgada em 10 de novembro de 2026.
A empresa de segurança digital descobriu um conjunto de ferramentas maliciosas chamado Cereal, utilizado em ataques contra organizações governamentais do Cazaquistão e da Romênia. O responsável, segundo a análise dos pesquisadores, é o grupo Turla, conhecido por operações de espionagem cibernética e por suas ligações com a Rússia.
O detalhe mais interessante, e também preocupante, é que os criminosos não precisavam derrubar os servidores ou interromper a entrega das mensagens. O objetivo era justamente o contrário: manter tudo funcionando enquanto informações eram coletadas silenciosamente.
O que é o malware Cereal e por que ele preocupa?
Antes de qualquer coisa, vale esclarecer um detalhe. O Cereal não é um vírus comum que chega por email, infecta um computador e começa a exibir mensagens suspeitas.
Trata-se de um conjunto de ferramentas desenvolvido para operar dentro de servidores Microsoft Exchange, plataforma utilizada por organizações para gerenciar emails, calendários e comunicações corporativas.
Na prática, o servidor funciona como uma espécie de central de distribuição. As mensagens chegam, são processadas e encaminhadas aos destinatários.
O problema começa quando alguém consegue comprometer essa central.
Em vez de acessar uma única caixa de entrada, os invasores passam a ter condições de observar parte do fluxo de mensagens que atravessa o sistema. Com o Cereal, também podem executar comandos e coletar informações sobre a rede da organização.
É uma diferença considerável. Afinal, uma coisa é alguém conseguir ler um email. Outra é comprometer a infraestrutura responsável por transportar milhares deles.
Segundo a ESET, o Cereal foi desenvolvido com diferentes módulos, cada um responsável por uma tarefa. Essa estrutura permite executar operações específicas sem depender de um único programa malicioso que faça tudo.
Como a espionagem foi descoberta?
A investigação começou em 28 de novembro de 2025, quando pesquisadores da ESET identificaram componentes suspeitos em um servidor Microsoft Exchange de uma organização governamental do Cazaquistão.
Inicialmente, os arquivos pareciam fazer parte de atividades maliciosas separadas. Uma análise mais aprofundada revelou que estavam conectados e integravam uma estrutura de espionagem até então não documentada.
Depois de aprimorar seus mecanismos de detecção, a empresa encontrou o mesmo conjunto de ferramentas em uma organização governamental da Romênia, comprometida em 23 de dezembro de 2025.
Foi nesse segundo caso que surgiu um detalhe especialmente relevante.
Um dos componentes estava configurado para selecionar mensagens enviadas ou recebidas por endereços institucionais ligados à Organização do Tratado do Atlântico Norte (OTAN) e à União Europeia.
Isso não significa que os sistemas dessas instituições tenham sido invadidos. O que os pesquisadores identificaram foi o interesse dos operadores em comunicações envolvendo esses endereços.
Ainda assim, estamos falando de correspondências potencialmente relevantes para relações diplomáticas, políticas e estratégicas.
Não é exatamente o tipo de informação que alguém gostaria de ver circulando fora dos canais oficiais.
O servidor da vítima também servia para controlar o ataque
Aqui está uma das características mais curiosas dessa operação.
Normalmente, programas maliciosos precisam se comunicar com servidores controlados pelos invasores para receber instruções e enviar informações roubadas.
Essas conexões podem deixar pistas, como endereços de internet suspeitos e padrões incomuns de comunicação. O Cereal adotou outra abordagem.
Um de seus componentes, chamado CerealNeuron, permanecia dentro do servidor Exchange comprometido, aguardando solicitações externas. Quando recebia uma comunicação válida e devidamente preparada pelos operadores, conseguia interpretar e executar as instruções.
Para dificultar a identificação, essas solicitações utilizavam caminhos semelhantes aos empregados por serviços legítimos do próprio Exchange.
Ou seja, os invasores aproveitaram o servidor da vítima como ponto de controle da operação.
É como se alguém invadisse um prédio e, em vez de instalar uma central de comunicação do lado de fora, passasse a utilizar a própria recepção do edifício.
A ESET não identificou uma infraestrutura externa dedicada ao comando e controle desses ataques. Isso tornou mais difícil rastrear a origem das instruções e identificar os responsáveis pelas conexões.
Como o Cereal conseguia copiar emails sem levantar suspeitas?
O componente responsável pela coleta automatizada de mensagens recebeu o nome de CerealBox.
Ele foi projetado para atuar diretamente no processo do Microsoft Exchange que transporta os emails.
Normalmente, o Exchange permite utilizar recursos legítimos para analisar mensagens, como ferramentas de filtragem de spam. Essas integrações costumam deixar registros na configuração do servidor. O CerealBox utilizava uma técnica diferente.
Em vez de instalar uma nova integração visível, ele modificava temporariamente o comportamento de componentes já carregados na memória do serviço.
Assim, conseguia analisar mensagens enquanto o Exchange continuava executando suas funções habituais.
O programa procurava emails que correspondessem a critérios definidos pelos operadores, como remetentes, destinatários, assuntos ou nomes de arquivos anexados.
A coleta também considerava mensagens com documentos nos formatos Word e PDF.
Quando encontrava uma correspondência de interesse, o sistema preparava uma cópia compactada e criptografada, armazenada temporariamente no servidor para posterior retirada pelos invasores.
Enquanto isso, o email original continuava seu caminho.
E é justamente essa discrição que torna a operação tão perigosa. O usuário não precisava clicar em nada naquele momento, não recebia necessariamente um alerta e podia continuar trabalhando normalmente.
Quem é o grupo Turla?
O Turla é um grupo de espionagem cibernética ativo desde pelo menos 2004, conhecido por atacar principalmente governos, organizações diplomáticas e instituições relacionadas à defesa.
O grupo também é conhecido pelo nome Snake e é amplamente associado ao Serviço Federal de Segurança da Rússia, o FSB.
Segundo a ESET, existem evidências suficientes para atribuir o conjunto Cereal ao Turla com alto grau de confiança.
Essa conclusão considera tanto a utilização de componentes anteriormente associados ao grupo quanto semelhanças entre as técnicas identificadas e ferramentas empregadas em operações passadas.
Vale destacar que uma atribuição técnica de alta confiança não equivale à identificação pública de cada pessoa envolvida no ataque.
A investigação também aponta que a distribuição geográfica das vítimas é compatível com o histórico de atuação do grupo.
Desde 2022, aproximadamente 70% dos países identificados pela telemetria da ESET como alvos do Turla eram antigas repúblicas soviéticas ou países europeus historicamente próximos à União Soviética.
Isso ajuda a compreender o contexto geopolítico dos ataques, embora não permita determinar sozinho a motivação específica de cada operação.
Por que esse malware é tão difícil de identificar?
Uma característica importante do Cereal é sua capacidade de esconder partes do código malicioso e executar tarefas diretamente na memória dos computadores.
Em termos simples, isso significa que determinadas ações podem acontecer sem que todos os componentes precisem permanecer armazenados como arquivos facilmente identificáveis.
Os operadores também exploraram funcionalidades pouco conhecidas da tecnologia .NET, utilizada em diversos programas do Windows.
Em alguns casos, componentes maliciosos foram colocados em locais onde programas legítimos procuravam arquivos necessários ao seu funcionamento.
O resultado era uma situação particularmente complicada: um serviço confiável podia acabar carregando código malicioso enquanto continuava aparentemente normal.
A pesquisa também identificou técnicas que permitiam executar instruções antes de determinadas verificações convencionais de programas .NET.
Não significa que o Cereal seja impossível de detectar. Significa que a operação foi desenvolvida para dificultar a identificação por métodos tradicionais e exigir análises mais profundas do comportamento dos servidores.
É o velho problema da segurança digital: nem toda ameaça faz barulho. Algumas trabalham justamente para parecer parte da rotina.
Empresas que utilizam Microsoft Exchange também estão em risco?
O caso envolve organizações governamentais, mas levanta uma questão importante para qualquer empresa que mantém sua própria infraestrutura de email.
Servidores corporativos concentram informações estratégicas, documentos, negociações, contratos e dados de clientes.
Quando essa infraestrutura é comprometida, o impacto pode ultrapassar uma única conta de usuário.
Entretanto, é necessário fazer uma distinção importante: a ESET não afirmou que todos os servidores Microsoft Exchange estão vulneráveis ao Cereal, nem apresentou esse malware como uma infecção generalizada.
A investigação descreve ataques direcionados a organizações específicas.
O relatório também não estabelece, no material divulgado, qual foi o método inicial utilizado pelos invasores para obter acesso aos ambientes comprometidos.
Portanto, seria incorreto afirmar que a operação começou necessariamente por uma falha específica do Exchange ou por uma campanha de phishing.
Para organizações que utilizam servidores Exchange, a principal lição é que a segurança não deve depender apenas de identificar arquivos suspeitos.
Monitorar alterações inesperadas em serviços, investigar comportamentos anormais, manter sistemas atualizados e proteger acessos administrativos são medidas importantes para reduzir riscos.
Também é fundamental contar com mecanismos capazes de identificar atividades maliciosas em processos legítimos, justamente porque ataques sofisticados podem explorar componentes que já fazem parte do sistema.
O que a descoberta revela sobre o futuro da espionagem digital?
O Cereal mostra como operações de espionagem estão explorando cada vez mais a infraestrutura que as próprias organizações utilizam diariamente.
Em vez de desenvolver apenas programas que roubam dados de computadores individuais, os invasores podem buscar pontos estratégicos que concentram informações de diversas pessoas. Um servidor de email é um desses pontos.
Ao comprometer esse ambiente, os operadores conseguem criar oportunidades para observar comunicações, executar comandos e conhecer melhor a estrutura interna de uma organização.
No caso investigado pela ESET, a combinação de ferramentas modulares, execução de código em memória e manipulação do fluxo de mensagens revela um nível elevado de planejamento técnico.
E talvez essa seja a parte mais incômoda de toda a história. Durante uma operação desse tipo, o email pode continuar chegando, o calendário pode continuar funcionando e ninguém precisa perceber imediatamente que existe algo errado.
No fim das contas, a ameaça mais sofisticada nem sempre é aquela que paralisa uma empresa. Às vezes, é justamente aquela que permite que tudo continue funcionando.
