• Tweet

O nouă operațiune de spionaj cibernetic atribuită grupării ruse Turla a vizat instituții guvernamentale din România și Kazahstan. Hackerii au utilizat un instrument informatic sofisticat, denumit Cereal, conceput pentru a compromite serverele Microsoft Exchange și a colecta în mod discret mesaje electronice. În cazul României, programul malițios a fost configurat să identifice corespondența trimisă către sau primită de la adrese asociate NATO și UE. Descoperirea aparține cercetătorilor companiei de securitate cibernetică ESET, care au identificat o nouă infrastructură de spionaj digital asociată, cu un grad ridicat de încredere, grupării Turla, cunoscută și sub numele de Snake.

Aceasta este considerată de experții în securitate informatică drept o structură de spionaj cibernetic aflată în legătură cu Serviciul Federal de Securitate al Rusiei (FSB).

Potrivit investigației, două organizații guvernamentale naționale au fost compromise în cadrul acestei campanii.

Primul caz a fost identificat în Kazahstan, la 28 noiembrie 2025, iar al doilea a fost descoperit în România, unde compromiterea sistemului informatic ar fi avut loc la 23 decembrie 2025.

Elementul cel mai sensibil al operațiunii este reprezentat de obiectivele urmărite în România. Componenta malware responsabilă de colectarea mesajelor, denumită CerealBox, fusese configurată pentru a selecta corespondența electronică asociată instituțiilor NATO și Uniunii Europene.

Un instrument de spionaj care se ascunde în serverele de e-mail

Instrumentul descoperit de cercetătorii ESET a primit numele Cereal.

Este un ansamblu modular de componente informatice malițioase, proiectat special pentru a funcționa pe servere Microsoft Exchange, platformă utilizată pe scară largă de organizații guvernamentale și companii pentru administrarea corespondenței electronice.

Spre deosebire de atacurile cibernetice convenționale, Cereal este construit pentru a rămâne cât mai mult timp nedetectat.

Programul execută comenzi direct în memoria serverului, utilizează tehnici avansate de criptare și încearcă să lase cât mai puține urme pe disc.

O particularitate importantă a operațiunii este absența unei infrastructuri externe clasice de comandă și control.

În mod obișnuit, programele malware comunică periodic cu servere controlate de atacatori, de unde primesc instrucțiuni și către care transmit informațiile sustrase.

În cazul Cereal, hackerii au transformat chiar serverul Microsoft Exchange compromis în propriul punct de comandă și control.

Astfel, infrastructura victimei este folosită pentru desfășurarea atacului, ceea ce complică identificarea activității malițioase și urmărirea operatorilor.

Cum erau interceptate mesajele electronice

Una dintre componentele centrale ale sistemului, CerealBox, a fost concepută pentru a monitoriza fluxul de mesaje gestionat de Microsoft Exchange.

Programul se infiltrează în procesul legitim EdgeTransport.exe, responsabil de transferul mesajelor electronice, și interceptează funcțiile componentelor care procesează corespondența.

Metoda este deosebit de discretă: malware-ul nu trebuie să instaleze un agent de transport suplimentar, care ar putea atrage atenția administratorilor.

În schimb, modifică modul în care funcționează componentele deja încărcate în memoria serverului.

Mesajele sunt analizate în funcție de criterii prestabilite, precum expeditorul, destinatarul, subiectul sau numele fișierelor atașate.

Cercetătorii ESET au constatat că instrumentul era configurat să selecteze inclusiv e-mailuri care conțineau documente în formatele DOC, DOCX și PDF.

Mesajele considerate relevante erau comprimate, criptate și stocate temporar pentru a putea fi recuperate ulterior de operatorii atacului.

În același timp, corespondența originală își continua traseul normal către destinatari, fără ca utilizatorii să observe neapărat vreo modificare.

Prin urmare, compromiterea serverului nu presupunea întreruperea serviciului de e-mail sau blocarea activității instituției vizate.

Scopul era colectarea clandestină a informațiilor.

Turla utilizează tehnici avansate pentru a evita detectarea

Ansamblul Cereal include mai multe componente specializate.

Una dintre acestea, CerealNeuron, funcționează ca o poartă de acces clandestină către serverul compromis.

Aceasta monitorizează anumite solicitări web care imită traficul legitim al serviciilor Microsoft Exchange, inclusiv Outlook Web Access și Autodiscover.

Atunci când primește o solicitare criptată care îndeplinește condițiile de validare, componenta o decriptează și execută comenzile transmise de atacatori.

Aceste comenzi pot permite colectarea mesajelor electronice, interogarea Active Directory pentru obținerea informațiilor despre utilizatori și grupuri, extragerea unor date de autentificare stocate local, precum și citirea sau ștergerea fișierelor.

O altă componentă, CerealHermit, oferă o metodă alternativă de executare a comenzilor, fără a utiliza o conexiune de rețea.

Aceasta citește instrucțiuni criptate din fișierele stocate pe server și poate funcționa ca soluție de rezervă.

Cercetătorii au remarcat și utilizarea unor tehnici neobișnuite bazate pe platforma .NET, inclusiv exploatarea mecanismelor prin care Windows gestionează bibliotecile precompilate. Aceste metode permit ascunderea codului malițios în procese și fișiere care par legitime.

Combinația dintre modularitate, execuția în memorie, criptare și reutilizarea infrastructurii victimei indică o platformă de spionaj cibernetic matură, construită pentru operațiuni de durată.

România, în vizorul unei grupări asociate serviciilor ruse de informații

Turla este una dintre cele mai cunoscute grupări de spionaj cibernetic asociate Rusiei. Activă cel puțin din 2004, aceasta este cunoscută și sub denumirile Snake, Secret Blizzard și Waterbug și a vizat de-a lungul timpului instituții guvernamentale, organizații militare, ambasade și alte entități strategice.

Potrivit datelor prezentate de ESET, aproximativ 70% dintre țările vizate de Turla începând din 2022 sunt fie foste republici sovietice, fie state europene care au fost cândva apropiate de Uniunea Sovietică.

Cazul României este deosebit de relevant în contextul apartenenței țării la NATO și UE și al tensiunilor de securitate din regiunea Mării Negre.

Totuși, cercetătorii nu au stabilit public identitatea instituției românești compromise și nici amploarea exactă a informațiilor care ar fi putut fi extrase.

„Cazul din România este notabil deoarece o componentă, CerealBox, a fost configurată să colecteze mesaje care implică adrese instituționale ale NATO și UE. Această orientare corespunde unor priorități de lungă durată ale serviciilor de informații ruse. De asemenea, situația ar putea fi legată de tensiunile regionale: începând de la începutul anului 2025, România a raportat mai multe incidente în care drone rusești s-au prăbușit în apropierea teritoriului său sau chiar pe teritoriul național, ceea ce a provocat reacții ferme din partea autorităților române și solicitări pentru o misiune NATO în regiunea Mării Negre", se arată în studiu.

Descoperirea demonstrează că serverul unei organizații guvernamentale a fost compromis și că instrumentul de colectare a mesajelor urmărea corespondența asociată celor două organizații occidentale, dar nu oferă, deocamdată, o imagine completă asupra prejudiciului produs.

Operațiunea evidențiază o tendință importantă în spionajul cibernetic contemporan: atacatorii nu urmăresc neapărat să distrugă infrastructura sau să întrerupă serviciile, ci să obțină acces persistent și să colecteze informații strategice fără a fi observați.

În acest tip de operațiuni, un server guvernamental care continuă să funcționeze aparent normal poate deveni, în realitate, un instrument de supraveghere aflat sub controlul unei grupări externe.