Die russischen Hacker von Turla kompromittierten eine rumänische Regierungsinstitution und fingen E-Mails über die NATO und die EU ab

Die russische Cyberspionagegruppe Turla kompromittierte am 23. Dezember 2025 die Microsoft-Exchange-Server einer rumänischen Regierungsinstitution, um gezielt E-Mails zur NATO und zur Europäischen Union zu sammeln. Der Angriff wurde vom Rumänischen Nachrichtendienst identifiziert und abgewehrt, der mitteilt, dass die Folgen behoben wurden.

Die Informationen stammen aus einem von ESET, einem der führenden europäischen Anbieter von Cybersicherheitslösungen, veröffentlichten Bericht. Die Forscher identifizierten ein neues Set schädlicher Werkzeuge namens Cereal, das Turla nutzte, um sich auf E-Mail-Servern zu installieren und die Korrespondenz abzufangen, ohne offensichtliche Spuren zu hinterlassen.

Die Hacker nutzten die Komponente CerealBox, um Befehle im Arbeitsspeicher auszuführen und nach Nachrichten mit Anhängen im Format .DOC, .DOCX oder .PDF zu suchen. Die Sammlung wurde nach Absender, Empfänger und Betreff gefiltert. Eine weitere Komponente, CerealNeuron, ermöglichte die Übermittlung von Befehlen an den kompromittierten Server über die E-Mail-Infrastruktur.

ESET hatte dieselben Werkzeuge zunächst Ende 2025 bei einer Regierungsinstitution in Kasachstan beobachtet und sie einen Monat später in Rumänien identifiziert.

Der SRI bestätigte den Angriff und erklärte, dass das Nationale Cyberint-Zentrum die gesetzlich befugten Stellen informiert und mit Partnern aus der EU und der NATO zusammengearbeitet habe. Die Institution betont, dass sie Angriffe, die der Russischen Föderation zugeschrieben werden, fortlaufend untersucht und auch weitere mögliche Sequenzen der Kampagne analysiert. Turla, auch bekannt als Snake, Secret Blizzard oder Waterbug, wird dem russischen Geheimdienst FSB zugerechnet.