Spionaj cibernetic rusesc în România. O instituție care colaborează cu NATO și UE, vizată de hackeri

Gruparea de hackeri Turla, asociată serviciilor secrete rusești, a folosit un nou instrument informatic malițios, denumit „Cereal”, pentru a compromite serverele Microsoft Exchange ale unor instituții guvernamentale și pentru a intercepta corespondența electronică. Potrivit unui raport al companiei de securitate cibernetică ESET, printre țintele atacurilor s-a numărat și o instituție din România, de unde hackerii au colectat selectiv e-mailuri schimbate cu reprezentanți ai NATO și ai Uniunii Europene. SRI confirmă incidentul și anunță că a intervenit pentru contracararea atacului și remedierea efectelor.

Cum au acționat hackerii ruși și ce informații au vizat

Cercetătorii ESET au analizat o serie de atacuri informatice desfășurate la sfârșitul anului 2025, în urma cărora au identificat un set de programe malware .NET, concepute pentru a compromite serverele Microsoft Exchange.

Primele urme ale acestei campanii au fost descoperite la o instituție guvernamentală din Kazahstan. Aproximativ o lună mai târziu, specialiștii au identificat aceleași instrumente informatice și în infrastructura unei instituții guvernamentale din România.

Potrivit raportului ESET, sistemele instituției românești au fost compromise la 23 decembrie 2025. Ulterior, hackerii au utilizat accesul obținut pentru a colecta selectiv mesaje electronice care aveau legătură cu reprezentanți ai NATO și ai Uniunii Europene.

„Am găsit același set de instrumente la o instituție guvernamentală din România – compromisă pe 23 decembrie 2025”, au precizat cercetătorii ESET în raportul publicat.

Turla, cunoscută și sub denumirile Snake, Secret Blizzard și Waterbug, este una dintre cele mai vechi grupări de ciberspionaj. Activitatea acesteia se desfășoară de peste două decenii, iar gruparea este asociată cu Serviciul Federal de Securitate (FSB) al Rusiei.

În operațiunea investigată, hackerii au folosit un ansamblu de instrumente informatice reunite sub numele Cereal. Una dintre componentele principale, CerealBox, a fost utilizată pentru a obține acces la serverele care gestionează corespondența electronică.

Programul malițios poate executa comenzi direct în memoria sistemului și poate analiza conținutul mesajelor fără să lase urme evidente în infrastructura compromisă.

Hackerii nu au urmărit colectarea tuturor mesajelor, ci au configurat instrumentele astfel încât să selecteze doar corespondența care îndeplinea anumite condiții. Au fost vizate în special e-mailurile care conțineau documente atașate în formatele DOC, DOCX și PDF.

Selecția era realizată în funcție de mai multe criterii, printre care adresa expeditorului, cea a destinatarului și subiectul mesajului, explică specialiștii ESET.

O altă componentă utilizată în atac este CerealNeuron. Aceasta le permite hackerilor să transmită comenzi de la distanță către serverul compromis, folosind infrastructura de e-mail a organizației vizate.

Pentru a ajuta la identificarea unor eventuale infectări, ESET a publicat pe GitHub o listă extinsă de indicatori de compromitere (IoC), care pot fi utilizați de specialiștii în securitate informatică pentru detectarea activităților asociate acestei campanii.

Lista poate fi consultată aici.

SRI confirmă atacul cibernetic și anunță că a fost contracarat

Serviciul Român de Informații a confirmat că o instituție guvernamentală din România a fost compromisă în urma atacului atribuit grupării ruse Turla.

Într-un răspuns transmis publicației G4Media, SRI a precizat că Centrul Național Cyberint (CNC) a identificat incidentul și a luat măsuri pentru limitarea atacului și eliminarea efectelor acestuia.

„Referitor la cea mai recentă investigație apărută în spațiul public, privind compromiterea unei instituții guvernamentale din plan național de către actorul cibernetic rus APT TURLA, precizăm faptul că SRI/CNC a identificat acest atac cibernetic și a implementat măsuri de contracarare a acestuia și de remediere a efectelor sale”, a transmis instituția.

Reprezentanții serviciului de informații au mai precizat că beneficiarii legali au fost informați, iar incidentul a făcut obiectul cooperării cu partenerii europeni din comunitatea de intelligence, precum și cu structurile NATO și ale Uniunii Europene.

SRI avertizează că atacurile informatice atribuite Federației Ruse nu reprezintă incidente izolate. Centrul Național Cyberint desfășoară în mod constant investigații pentru identificarea și analizarea tentativelor de compromitere a instituțiilor din România.

„SRI/CNC are în derulare măsuri investigative complexe care vizează și alte secvențe conectate cu campanii cibernetice implementate de Federația Rusă”, se mai arată în răspunsul transmis presei.

Instituția a dat asigurări că va continua să monitorizeze amenințările informatice și să investigheze eventualele noi tentative de acces neautorizat la sistemele instituțiilor din România.