Turla: связанные с Россией хакеры украли письма НАТО и ЕС из Румынии через малварь Cereal

Словацкая компания по кибербезопасности ESET сообщила, что группа хакеров, известная как Turla и связываемая компанией с высокой степенью уверенности с российской ФСБ, взломала серверы Microsoft Exchange румынского государственного учреждения с целью сбора электронной почты, связанной с НАТО и Европейским союзом. ESET опубликовала эти данные 10 ноября 2026 года.

Инструмент, использованный в атаке, — ранее неизвестный модульный набор вредоносного ПО на базе .NET под названием “Cereal”. Вместо использования внешнего командного сервера, Cereal превращает собственный Exchange-сервер жертвы в инфраструктуру управления для атакующих: вредоносный трафик смешивается с обычной почтовой активностью сервера, что значительно затрудняет его обнаружение.

Компонент “CerealBox” автоматически отбирает входящие и исходящие письма, связанные с институциональными адресами НАТО и ЕС и содержащие вложения в формате Word или PDF. Отобранные письма сжимаются и шифруются, после чего подготавливаются для последующей выгрузки операторами — без необходимости постоянного участия человека.

По данным ESET, румынские серверы были скомпрометированы 23 декабря 2025 года. Компания впервые обнаружила этот набор инструментов в Казахстане в ноябре 2025 года, а румынское вторжение было выявлено примерно месяц позже — то есть взлом оставался незамеченным почти год.

Turla — одна из старейших групп, отслеживаемых западными исследователями: она активна по меньшей мере с 2008 года и исторически связывается с платформой кибершпионажа Snake/Uroburos. На протяжении более десяти лет группа неоднократно атаковала министерства иностранных дел, государственные органы и структуры, связанные с обороной, в Европе и Центральной Азии.

Румыния расположена на восточном фланге НАТО и имеет выход к Черному морю. По данным ESET, около 70 процентов стран, которые атаковала Turla, — это бывшие советские республики или страны бывшего восточного блока, преимущественно в Восточной Европе и Центральной Азии. В мае 2025 года была зафиксирована отдельная российская кибероперация против румынских производителей оружия, поддерживающих Украину, что подтверждает устойчивую модель повторного выбора Румынии в качестве цели.

ESET раскрыла свои выводы через публикацию в блоге и пресс-релиз. Официальной реакции румынских властей на момент публикации не поступало. Какое именно учреждение подверглось атаке, сколько писем было украдено и продолжается ли вторжение до сих пор — не уточняется.

Этот случай служит напоминанием о том, что любое государственное учреждение или оборонная компания, регулярно переписывающаяся с партнёрами по НАТО или ЕС, может стать целью аналогичной атаки, поскольку вредоносная программа избирательно отбирает именно официальную переписку с вложениями, а не произвольный трафик. Инцидент также подчёркивает роль независимых исследователей в выявлении вторжений, которые остаются незамеченными внутренними системами мониторинга самих учреждений.

ESET приписывает инструментарий Turla с “высокой степенью уверенности” на основе технического анализа структуры кода и совпадений с прошлыми кампаниями группы, а не на основании публичного раскрытия личности атакующих. Эксперты отмечают, что подобный метод — превращение сервера самой жертвы в инфраструктуру управления — представляет собой заметное развитие тактики российского кибершпионажа и требует от государственных учреждений регулярного аудита журналов почтовых серверов, а также контроля за нетипичным поведением вложений в переписке с адресами НАТО и ЕС.

Источники

• Defense News, “Romanian servers targeted by Russian hackers to scoop up emails about NATO, EU”, Линус Хёллер, 11 ноября 2026 — перейти к источнику — основной источник материала, со ссылкой на анализ ESET.