Les hackers russes de Turla ont compromis une institution gouvernementale roumaine et intercepté des e-mails concernant l’OTAN et l’UE

Le groupe russe de cyberespionnage Turla a compromis, le 23 décembre 2025, les serveurs Microsoft Exchange d’une institution gouvernementale roumaine afin de collecter sélectivement des e-mails concernant l’OTAN et l’Union européenne. L’attaque a été identifiée et contrée par le Service roumain de renseignement, qui annonce que ses effets ont été corrigés.

Ces informations figurent dans un rapport publié par ESET, l’un des principaux fournisseurs européens de solutions de cybersécurité. Les chercheurs ont identifié un nouvel ensemble d’outils malveillants, baptisé Cereal, utilisé par Turla pour s’installer sur des serveurs de messagerie et intercepter les correspondances sans laisser de traces évidentes.

Les hackers ont utilisé le composant CerealBox pour exécuter des commandes en mémoire et rechercher des messages contenant des pièces jointes .DOC, .DOCX ou .PDF. La collecte était filtrée en fonction de l’expéditeur, du destinataire et de l’objet. Un autre composant, CerealNeuron, permettait de transmettre des commandes au serveur compromis par l’intermédiaire de l’infrastructure de messagerie.

ESET a d’abord observé les mêmes outils dans une institution gouvernementale du Kazakhstan, à la fin de 2025, puis les a identifiés en Roumanie un mois plus tard.

Le SRI a confirmé l’attaque et précisé que le Centre national Cyberint avait informé les bénéficiaires légaux et coopéré avec ses partenaires de l’UE et de l’OTAN. L’institution affirme enquêter en permanence sur les attaques attribuées à la Fédération de Russie et analyser également d’autres séquences possibles de la campagne. Turla, également connu sous les noms de Snake, Secret Blizzard ou Waterbug, est associé au FSB russe.