02.09.2025
1 хв
750
російські хакери з угруповання Turla зламали урядові поштові сервери Румунії, щоб перехоплювати електронне листування, зокрема повідомлення представників НАТО та Європейського Союзу. Для шпигунства вони використали раніше невідомий набір шкідливих інструментів Cereal, який дозволяв непомітно копіювати потрібні листи.
За даними компанії ESET, за атакою стоїть угруповання Turla, яке пов’язують із Федеральною службою безпеки росії (ФСБ). Його новий інструментарій Cereal дозволяє стежити за поштовим трафіком, викрадати окремі повідомлення та зберігати прихований доступ до скомпрометованих серверів Microsoft Exchange.
«Набір інструментів Cereal є ретельно розробленим засобом для тривалого прихованого кібершпигунства. Він залишає мало слідів на диску, не використовує зовнішню інфраструктуру, яку можна виявити та заблокувати, і приховується всередині легітимних процесів Exchange», зазначили в ESET.
Шкідливе програмне забезпечення працює непомітно для користувачів. Коли посадовець надсилає електронного листа колезі з іншої країни НАТО, спеціальний код перевіряє повідомлення ще на сервері Exchange. Якщо воно становить інтерес для хакерів, система зберігає копію для подальшого викрадення, тоді як оригінальний лист безперешкодно надходить адресату.
Як пояснили дослідники ESET, такий механізм вони виявили наприкінці 2025 року на сервері державної установи Казахстану. Незабаром аналогічний інструментарій знайшли в урядовій організації Румунії, яку зламали 23 грудня 2025 року. Там Cereal був налаштований на пошук електронних листів, надісланих представникам НАТО та ЄС або отриманих від них.
За словами фахівців ESET, Cereal поєднує нові техніки атак, які потребують глибокого розуміння внутрішньої роботи Microsoft Exchange, із незвичайними методами виконання .NET-коду. Особливу увагу дослідників привернула відсутність зовнішньої інфраструктури командування та керування (C&C), яку хакери зазвичай використовують для контролю заражених систем.
Замість цього Turla перетворила сам зламаний сервер Exchange на центр керування атакою. Такий підхід дозволяв угрупованню працювати без зовнішніх серверів, які могли б виявити, заблокувати або відключити.
В ESET зазначили, що використання скомпрометованого Exchange як центрального вузла керування є рідкісною технікою, яку застосовують лише окремі APT-угруповання. Turla вже використовувала подібні підходи раніше, однак у такому вигляді цей механізм досі не документували в інших сімействах шкідливого ПЗ. Водночас дослідники поки не встановили, як саме хакери отримали початковий доступ до урядових серверів і скільки інформації встигли викрасти.
Turla, також відома як Snake, діє щонайменше з 2004 року. Її основними цілями залишаються урядові установи, дипломатичні представництва та оборонні організації Європи, Центральної Азії й Близького Сходу. Раніше угруповання вже викривали у масштабному стеженні за іноземними посольствами та дипломатичними місіями в москві. Тоді зловмисники використовували доступ на рівні інтернет-провайдерів.
Інтерес до Румунії може бути пов’язаний із напруженою ситуацією в регіоні. З початку 2025 року країна неодноразово повідомляла про падіння російських безпілотників поблизу своїх кордонів або безпосередньо на території держави. Водночас злам у Казахстані збігся з початком депортацій частини російських емігрантів і критиків кремлівського режиму, які залишили росію після повномасштабного вторгнення в Україну.
Наразі точний масштаб кібершпигунської операції залишається невідомим. Однак виявлений інструментарій свідчить, що Turla продовжує вдосконалювати методи прихованого доступу до державних поштових систем.
