Российская хакерская группировка Turla взломала государственное учреждение Румынии и перехватывала электронные письма о НАТО и ЕС

Российская кибершпионская группировка Turla 23 декабря 2025 года взломала серверы Microsoft Exchange одного из государственных учреждений Румынии, чтобы выборочно собирать электронные письма, связанные с НАТО и Европейским союзом. Атаку выявила и пресекла Румынская служба информации, сообщившая, что последствия были устранены.

Эта информация содержится в отчёте, опубликованном ESET — одним из ведущих европейских поставщиков решений в области кибербезопасности. Исследователи выявили новый набор вредоносных инструментов под названием Cereal, который Turla использовала для установки на почтовые серверы и перехвата переписки, не оставляя явных следов.

Хакеры использовали компонент CerealBox для выполнения команд в памяти и поиска сообщений с вложениями .DOC, .DOCX или .PDF. Сбор данных фильтровался по отправителю, получателю и теме письма. Другой компонент, CerealNeuron, позволял передавать команды на скомпрометированный сервер через почтовую инфраструктуру.

Сначала ESET обнаружила те же инструменты в государственном учреждении Казахстана в конце 2025 года, а месяц спустя выявила их в Румынии.

SRI подтвердила атаку и сообщила, что Национальный центр Cyberint уведомил законных получателей информации и сотрудничал с партнёрами из ЕС и НАТО. Ведомство заявляет, что постоянно расследует атаки, приписываемые Российской Федерации, а также анализирует другие возможные эпизоды кампании. Turla, также известная как Snake, Secret Blizzard или Waterbug, связана с российской службой ФСБ.