تورلا: قراصنة روس يسرقون بريد ناتو والاتحاد الأوروبي من رومانيا عبر أداة Cereal

أعلنت شركة الأمن السيبراني السلوفاكية ESET أن مجموعة القرصنة المعروفة باسم “تورلا”، والتي تربطها الشركة بثقة عالية بجهاز الأمن الفدرالي الروسي (FSB)، تمكنت من اختراق خوادم Microsoft Exchange الخاصة بمؤسسة حكومية رومانية لجمع رسائل البريد الإلكتروني المرتبطة بحلف الناتو والاتحاد الأوروبي. وكشفت ESET عن هذه النتائج في 10 نوفمبر 2026.

الأداة المستخدمة في الاختراق هي مجموعة برمجيات خبيثة جديدة وغير مُوثّقة سابقًا، مبنية على تقنية .NET وتحمل اسم “Cereal”. وبدلًا من الاعتماد على خادم قيادة وتحكم خارجي، يحوّل Cereal خادم Exchange الخاص بالضحية نفسه إلى بنية قيادة للمهاجمين، مما يجعل حركة البيانات الخبيثة تمتزج بحركة البريد الاعتيادية ويزيد من صعوبة اكتشافها.

ويقوم مكوّن يُسمى “CerealBox” بفلترة الرسائل الواردة والصادرة تلقائيًا، مُستهدفًا تلك المرتبطة بعناوين مؤسسية تابعة للناتو والاتحاد الأوروبي والتي تحتوي على مرفقات Word أو PDF. يتم ضغط هذه الرسائل وتشفيرها، ثم تجهيزها لاستردادها لاحقًا من قبل المهاجمين دون حاجة لتدخل بشري مستمر.

وتقول ESET إن الخوادم الرومانية تم اختراقها في 23 ديسمبر 2025. وقد رصدت الشركة هذه الأداة لأول مرة في كازاخستان في نوفمبر 2025، ثم تتبعت الاختراق الروماني بعد ذلك بشهر تقريبًا — أي أن الاختراق استمر دون اكتشاف لقرابة عام كامل.

تُعد “تورلا” من أقدم المجموعات التي يتعقبها باحثو الأمن السيبراني الغربيون، وهي نشطة منذ عام 2008 على الأقل، وارتبطت تاريخيًا ببرنامج التجسس المعروف باسم Snake/Uroburos. وعلى مدى أكثر من عقد، استهدفت المجموعة وزارات خارجية وهيئات حكومية ومؤسسات مرتبطة بالدفاع في أوروبا وآسيا الوسطى.

تقع رومانيا على الجناح الشرقي لحلف الناتو وتمتد على ساحل البحر الأسود. وتشير ESET إلى أن نحو 70 بالمئة من الدول التي استهدفتها “تورلا” هي دول سوفيتية سابقة أو تابعة للكتلة الشرقية سابقًا، تتركز في أوروبا الشرقية وآسيا الوسطى. كما سُجّلت في مايو 2025 عملية سيبرانية روسية منفصلة استهدفت شركات تصنيع أسلحة رومانية داعمة لأوكرانيا، وهو ما يعزز نمط الاستهداف المتكرر لرومانيا.

نشرت ESET نتائجها عبر تدوينة وبيان صحفي، ولم تصدر السلطات الرومانية أي تعليق حتى الآن. ولم يُكشف عن الجهة المستهدفة بالتحديد، وحجم الرسائل المسروقة، وما إذا كان الاختراق لا يزال نشطًا.

تُذكّر هذه الحادثة بأن أي مؤسسة حكومية أو شركة دفاعية تتواصل بانتظام مع نظرائها في الناتو أو الاتحاد الأوروبي معرضة لنفس الأسلوب، لأن البرمجية الخبيثة تستهدف تحديدًا المراسلات الرسمية التي تحمل مرفقات، لا حركة البيانات العشوائية. كما تُبرز الحادثة دور شركات الأمن السيبراني المستقلة في الكشف عن اختراقات تفوتها أنظمة المراقبة الداخلية للمؤسسات.

تُحمّل ESET هذه الأداة لمجموعة “تورلا” بـ”ثقة عالية”، استنادًا إلى تحليل تقني لبنية الكود وأوجه التشابه مع حملات سابقة للمجموعة، وليس إلى إفشاء علني لهوية المهاجمين. ويشير الباحثون إلى أن هذا النوع من الهجمات، القائم على تحويل خادم الضحية نفسه إلى بنية قيادة، يمثل تطورًا ملحوظًا في أساليب التجسس السيبراني الروسي، ويستدعي من المؤسسات الحكومية مراقبة سجلات خوادم البريد بشكل دوري ورصد أي سلوك غير معتاد في المرفقات المتبادلة مع عناوين الناتو والاتحاد الأوروبي.

المصادر

• Defense News، “Romanian servers targeted by Russian hackers to scoop up emails about NATO, EU”، Linus Höller، 11 نوفمبر 2026 — عرض المصدر — المصدر الأساسي لهذا التقرير، ويستند إلى نتائج وتحليل ESET.