Turla, el APT ruso atribuido al FSB, ha reajustado su backdoor Cereal para comprometer los servidores Exchange de sus objetivos.
La noticia no llega por un comunicado oficial ni por una alerta de la NSA. Llega por el boletín de malware que Security Affairs publica cada semana, que en su edición 123 recoge una investigación titulada ‘Exchange for breakfast: Turla’s Cereal tricks are not for kids’. Investigación técnica de terceros, agregada, sin cifra de víctimas y sin atribución formal de ninguna agencia occidental. En el oficio, eso se llama material de trabajo. No es prueba.
Le adelanto lo que importa: Cereal no es un exploit nuevo ni un zero-day. Es una herramienta de acceso y persistencia que ya existía y que ha sido retocada. El cambio de comportamiento es lo que ha vuelto a encender las alarmas en los equipos de respuesta que llevan años siguiendo al grupo.
Cómo entra Cereal y por qué el correo de la víctima es el mejor escondite
La documentación pública que ESET difundió sobre Cereal describe un implante que renuncia al servidor de mando y control propio. Se apoya en el buzón de la víctima: lee instrucciones depositadas en elementos de correo y de calendario, y devuelve el material exfiltrado por la misma vía. Para el cortafuegos, es Outlook haciendo su trabajo. Para el analista, un dead drop dentro de la propia casa. Puede consultarse el detalle técnico en la documentación pública de ESET WeLiveSecurity.
Ese diseño no es capricho. Quien controla el correo corporativo controla la identidad digital de la organización y, con ella, la confianza de sus socios. El salto a Exchange tiene lógica de oficio: es la puerta de entrada de la casa, el servicio que habla con todo el mundo y que durante años acumuló agujeros memorables. ProxyLogon y ProxyShell dejaron miles de servidores en premisa con webshells que nadie retiró del todo. Turla no suele entrar por la puerta que fuerza: entra por la que se quedó abierta.
Un implante que usa el correo de la víctima como buzón muerto no se detecta mirando el tráfico: se detecta mirando quién escribe dentro del propio correo.
La consecuencia práctica es incómoda para quien defiende. La detección se desplaza del perímetro al contenido: registros de auditoría de buzones, reglas creadas por el intruso, elementos en carpetas que el usuario no ve, conexiones MAPI fuera de horario. Ninguna de esas señales es concluyente por sí sola, y todas juntas exigen un analista con criterio, no un antivirus.
Turla lleva tres décadas en la misma acera
Este servicio no es una moda. Turla, conocido también como Uroburos, Snake, Venomous Bear, Waterbug o Krypton, opera desde mediados de los noventa y la comunidad técnica lo vincula al Centro 16 del FSB, la unidad de contrainteligencia y guerra de la información con sede histórica en la Lubyanka. Sus objetivos son ministerios de Asuntos Exteriores, estados mayores, embajadas, industria de defensa y, en alguna operación documentada, redes de satélites.
En mayo de 2023, una operación conjunta del FBI, la NSA, la CISA y la Oficina Federal de Investigación Criminal alemana desmanteló la red Snake con la que el grupo llevaba veinte años moviéndose por redes diplomáticas. Se llamó Operación MEDUSA y sirvió para algo más que para cerrar servidores: confirmó que el implante era un producto industrial, mantenido y versionado como si fuera software comercial.
Ahí está la clave que casi nadie subraya. Turla no compite con APT29, el grupo del SVR, ni con Sandworm, la unidad del GRU. Coexisten mal. Cada servicio ruso mantiene su propio ecosistema, sus herramientas y sus objetivos, y la duplicidad se nota en el terreno: dos grupos persiguiendo la misma cancillería europea con malware distinto y sin coordinación aparente. La competencia entre servicios es una vulnerabilidad explotable y, a la vez, la garantía de que cerrar un APT no cierra la amenaza.
Dos servicios, dos estilos, un mismo Estado mayor.
Sobre la atribución, reconozco la dificultad. La vinculación de Turla al FSB se sostiene en huellas de infraestructura reutilizada, en la coincidencia de horarios de trabajo y en errores operativos documentados por varios fabricantes a lo largo de una década. Es atribución técnica sólida, no una certeza judicial. Quien le venda lo contrario, con uniforme o sin él, está vendiendo humo.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque de espionaje puro, con acceso persistente a un servicio legítimo de correo convertido en canal encubierto. No hay sabotaje ni ransomware: hay captura silenciosa de información y una permanencia medida en años, no en horas.
Agencias implicadas. Atacante: Turla, con atribución técnica al Centro 16 del FSB. Defensora: los equipos de respuesta de las víctimas, Microsoft en su papel de proveedor de la plataforma y los CERT nacionales. Terceros interesados: el SVR, que observa y aprende; y las agencias occidentales, que llevan desde 2023 recolectando indicadores de la etapa posterior a Snake.
Nivel de clasificación estimado: Secreto en origen y Confidencial en las comunicaciones interceptadas. A juzgar por el perfil de víctima habitual del grupo —defensa, diplomacia, industria—, el material exfiltrado roza conversaciones de Estado Mayor, contratos de armamento y calendarios de despliegue.
El espionaje de verdad no se mide por los implantes que se descubren, sino por los años que esos implantes pasaron dentro sin que nadie mirara.
El precedente que conviene tener a mano es Moonlight Maze, la intrusión que entre 1996 y 1999 atravesó redes del Pentágono y de varios laboratorios estadounidenses y que hoy se atribuye retrospectivamente a este mismo ecosistema. Casi treinta años después, el método cambió y la lógica no: entrar despacio, quedarse años y salir sin ruido. Lo que hoy llamamos Cereal es la misma idea con otro envoltorio.
España y el correo en premisa: la puerta que sigue abierta
Permítame que baje el asunto al suelo español. El CCN-CERT publica alertas y notas técnicas con criterio, y su web oficial es la referencia obligada para cualquier administración con Exchange en premisa. Universidades, ministerios pequeños y buena parte del tejido sanitario siguen con servidores de correo propios, parcheados a destiempo y sin auditoría de buzones. Ahí es donde un implante que no genera tráfico anómalo puede vivir meses.
Lo escribí en El quinto elemento y lo mantengo: en España hay 8.000 infraestructuras críticas y atacables a través de internet. La cifra no era una hipérbole, era un inventario. Un correo corporativo comprometido es una infraestructura crítica aunque nadie lo haya catalogado como tal.
Y el correo sigue siendo la puerta de atrás de casi todo.
Me consta que los equipos del CNI y del CCN-CERT llevan tiempo priorizando el correo en premisa sobre otras superficies, precisamente porque la factura de un buzón comprometido se paga en años. No hay hito público que anunciar: en este negocio, el éxito consiste en que usted no se entere. El siguiente punto de control será el informe anual del CCN-CERT correspondiente a 2026, previsto para el primer trimestre de 2027, y el ejercicio Locked Shields de la primavera de 2027, donde la defensa de servicios de correo es ya un escenario fijo.
Silencio, oficio y paciencia. Lo demás es titular.
