Turla: Rusya Bağlantılı Hacker Grubu, Romanya’dan NATO ve AB E-postalarını ‘Cereal’ Zararlısıyla Çaldı
Slovakya merkezli siber güvenlik şirketi ESET, Rusya’nın FSB’siyle bağlantılı olduğu değerlendirilen Turla adlı hackleme grubunun, bir Romanya devlet kurumunun Microsoft Exchange sunucularına sızarak NATO ve Avrupa Birliği ile ilgili e-postaları hedef aldığını açıkladı. ESET bulgularını 10 Kasım 2026’da kamuoyuna duyurdu.
Saldırıda kullanılan araç, önceden belgelenmemiş, modüler ve .NET tabanlı “Cereal” adlı bir zararlı yazılım seti. Bu set, hedef kurumun kendi Exchange sunucusunu saldırganlar için komuta altyapısına dönüştürüyor; bu yöntemde kötü amaçlı trafik, sunucunun normal e-posta işlevleriyle aynı kanaldan aktığı için ayrı bir dış komuta sunucusuna ihtiyaç kalmıyor ve tespit büyük ölçüde zorlaşıyor.
Araç setinin “CerealBox” bileşeni, NATO ve AB kurumsal adreslerinden gelen ya da bu adreslere giden, Word veya PDF ekli mesajları otomatik olarak seçiyor. Seçilen e-postalar sıkıştırılıp şifrelenerek saldırganların daha sonra almasına hazır hale getiriliyor; bu da operasyonun insan gözetimi gerektirmeden, otomatik ve sürekli biçimde veri topladığı anlamına geliyor.
ESET’e göre Romanya’daki sunucular 23 Aralık 2025’te ele geçirildi. Şirket, aynı araç setinin izine ilk olarak Kasım 2025’te Kazakistan’da rastladığını, Romanya’daki sızmayı ise bundan yaklaşık bir ay sonra tespit ettiğini belirtti. Bu da saldırının, keşfedilmeden önce aylarca sürebildiğini gösteriyor.
Turla, siber güvenlik camiasında 2008’den itibaren izlenen, geçmişte Snake/Uroburos adlı casusluk yazılımıyla tanınan ve on yılı aşkın süredir Avrupa’da hükümet kurumlarını, dışişleri bakanlıklarını ve savunma kuruluşlarını hedef aldığı bilinen köklü bir grup. Grubun teknikleri zamanla gelişmiş olsa da temel amacı değişmedi: diplomatik ve askerî yazışmalara sessizce erişmek.
Romanya, NATO’nun doğu kanadında, Karadeniz’e kıyısı olan bir üye ülke. ESET’in verilerine göre Turla’nın hedeflediği ülkelerin yüzde 70’i eski Sovyet veya eski komünist blok ülkeleri arasında, ağırlıklı olarak Doğu Avrupa ve Orta Asya’da yoğunlaşıyor. Mayıs 2025’te Ukrayna’ya destek veren Romanyalı silah üreticilerine yönelik ayrı bir Rus siber saldırısı da kayıtlara geçmişti; bu da Romanya’nın bölgedeki konumu nedeniyle tekrarlayan bir hedef haline geldiğine işaret ediyor.
ESET, bulgularını bir blog yazısı ve basın bülteni üzerinden paylaştı. Romanya makamlarından konuya ilişkin bir açıklama şu ana kadar kamuoyuna yansımadı. Hangi kurumun tam olarak hedef alındığı, çalınan e-posta hacmi ve saldırının hâlâ sürüp sürmediğine dair ayrıntılar açıklanmadı.
ESET, Cereal araç setini Turla’ya “yüksek güvenle” atfetti; bu da şirketin kod yapısı, altyapı örtüşmeleri ve geçmiş kampanyalarla benzerlikler üzerinden yaptığı teknik bir değerlendirme. Kesin isimlendirme ve kamuya açık kaynak kod paylaşımı yapılmadığından, bağımsız doğrulama şu an için büyük ölçüde ESET’in analizine dayanıyor.
Vaka, 2025-2026 döneminde NATO’nun doğu kanadına yönelik Rus kaynaklı siber faaliyetlerin arttığı daha geniş bir örüntünün parçası olarak okunuyor. Fiziksel sınır hattında drone ihlalleri ve hibrit tehditlerle gündeme gelen bölge, aynı zamanda sürekli ve düşük profilli siber casusluk kampanyalarının da hedefi durumunda; bu da NATO üyelerinin hem askerî hem de diplomatik iletişim altyapılarını eş zamanlı güçlendirmesi gerektiğine işaret ediyor.
Vakanın NATO üyesi diğer ülkeler için de bir uyarı niteliği taşıdığı değerlendiriliyor. NATO ve AB kurumlarıyla düzenli yazışan her devlet kurumu ve savunma şirketi — Türkiye dahil — benzer bir yöntemle hedef olabilir; saldırı özellikle Word veya PDF ekli resmî yazışmaları seçtiği için, savunma tedarik zincirindeki kurumlar arası e-posta trafiği de risk altında kabul ediliyor.
Olay, aynı zamanda ESET gibi bağımsız siber güvenlik firmalarının, devlet kurumlarının kendi iç gözetim sistemlerinin kaçırdığı saldırıları ortaya çıkarmadaki rolünü bir kez daha gösteriyor. Saldırının keşfedilmesi, hedef sunucunun bir yıla yakın süre fark edilmeden komuta altyapısı olarak kullanılabildiğini de ortaya koyuyor.
Siber güvenlik uzmanları, bu tür “sunucu-içi komuta” tekniklerine karşı kurumların e-posta sunucu günlüklerini (log) düzenli olarak denetlemesini, özellikle NATO/AB kurumsal alan adlarıyla yapılan yazışmalarda beklenmeyen eklenti davranışlarını izlemesini ve kritik sunuculara erişimi çok katmanlı kimlik doğrulamayla sınırlamasını öneriyor. Cereal’in ortaya çıkarılması, bu tedbirlerin tek başına yeterli olmadığını, saldırının aylarca fark edilmeden sürebildiğini de gösteriyor.
Kaynaklar
- Defense News, “Romanian servers targeted by Russian hackers to scoop up emails about NATO, EU”, Linus Höller, 11 Kasım 2026 — kaynağa git — Haberin ana kaynağı; ESET’in bulgularını ve zaman çizelgesini aktarıyor.
