Mit Russland verbundene Turla-Hacker zielten auf rumänische Regierungsinstitution, so der SRI

Angriff im Dezember 2025 entdeckt

Der Rumänische Nachrichtendienst (SRI) erklärte am 11. November 2026, sein Nationales Cyberint-Zentrum habe im Dezember 2025 einen Cyberangriff auf eine Regierungsinstitution identifiziert. Das Zentrum habe Gegenmaßnahmen ergriffen und die Systeme wiederhergestellt. Die Angreifer nutzten demnach mehrere systemische Schwachstellen in Microsoft-Betriebssystemen, um in die IT-Infrastruktur der Institution einzudringen. Nach dem Eingreifen des Zentrums sei der Angriff gestoppt und der betroffene E-Mail-Dienst wiederhergestellt worden. Der SRI schreibt die Operation dem russischen Akteur APT TURLA zu.

Keine Hinweise auf gestohlene Daten

Die Ermittler fanden keine Hinweise darauf, dass vertrauliche Informationen aus den kompromittierten Systemen entwendet wurden. In der Erklärung des SRI heißt es:

„Es wurde keine Exfiltration sensibler Daten festgestellt, und der betroffene E-Mail-Dienst wurde wiederhergestellt.“

Die Behörde teilt mit, die zuständigen rechtlichen Stellen seien über den Vorfall informiert worden. Der Fall sei in Zusammenarbeit mit europäischen Partnern der Nachrichtendienstgemeinschaft sowie mit Strukturen der EU und der NATO bearbeitet worden.

ESETs Analyse des Cereal-Toolsets

ESET Research veröffentlichte seine Analyse am 10. November 2026. Darin beschreibt das Unternehmen ein Schadsoftware-Toolset namens Cereal, das kompromittierte Microsoft-Exchange-Server in Kommandozentralen und E-Mail-Sammelstellen verwandelt. Erste Spuren wurden am 28. November 2025 bei einer Regierungsorganisation in Kasachstan gefunden. Später brachten verbesserte Erkennungsregeln einen zweiten Angriff auf eine rumänische Regierungsorganisation zutage, dessen Aktivität auf den 23. Dezember 2025 datiert wird; laut ESET nahm die Aktivität der Angreifer am 20. Januar 2026 zu. ESET nennt die rumänische Organisation nicht und konnte nicht klären, wie die Angreifer ersten Zugang erhielten; die Ausnutzung einer Schwachstelle wird lediglich als Möglichkeit genannt.

Eine Komponente namens CerealBox war demnach so konfiguriert, dass sie Nachrichten mit Adressen in den Domains nato.int und europa.eu sowie Nachrichten mit.doc-,.docx- oder.pdf-Anhängen herausfilterte. Ausgewählte Nachrichten konnten komprimiert, verschlüsselt und auf dem Server für den Abruf bereitgelegt werden; ESET beschreibt Befehle, mit denen Betreiber sie lesen und löschen konnten. ESET veröffentlichte keinen Beleg dafür, dass Nachrichten aus dem rumänischen Fall das Netzwerk verließen, und nannte keine Zahl der kopierten Nachrichten. Die Forscher schrieben:

„Wir fanden dasselbe Toolset bei einer Regierungsinstitution in Rumänien, die am 23. Dezember 2025 kompromittiert wurde.“

Zuordnung zu Turla und dem FSB

ESET ordnet die Aktivität mit hoher Sicherheit Turla zu und verweist auf die Wiederverwendung einer Komponente, die der Gruppe bereits früher zugeschrieben wurde, sowie auf Ähnlichkeiten mit einem Programm, das in einem Bericht von 2017 mit ihr in Verbindung gebracht wurde. Turla, auch bekannt als Snake, Secret Blizzard und Waterbug, ist seit mehr als zwei Jahrzehnten aktiv und gilt laut ESET weithin als Teil des russischen FSB. Die Analyse nennt öffentlich keine Personen, die das Programm in Rumänien betrieben. Zu den üblichen Zielen von Turla gehören Regierungen, diplomatische Vertretungen und Verteidigungsorganisationen, vor allem in Europa, Zentralasien und dem Nahen Osten. Auch Rumänien war bereits Ziel anderer pro-russischer Angriffe: Im Mai 2022 reklamierte Killnet Angriffe auf Websites rumänischer Flughäfen für sich, darunter Henri Coandă, die zeitweise nicht erreichbar waren, während die Flugsicherheit nach damaligen Berichten nicht beeinträchtigt wurde. Diese Angriffe wurden als vermutlich DDoS-Attacken beschrieben, die auf die Blockierung des Zugangs und nicht auf das Ausspähen von Korrespondenz abzielten.

Ermittlungen dauern an

Das Nationale Cyberint-Zentrum führt komplexe Ermittlungen durch, die auch weitere Vorfälle im Zusammenhang mit Cyberkampagnen umfassen, die Russland zugeschrieben werden. Der SRI erklärt, er werde weiter daran arbeiten, neue Versuche der Kompromittierung von Institutionen in Rumänien zu identifizieren und zu untersuchen. Auch weitere Russland zugeschriebene Angriffe werden analysiert. ESET hat eine erweiterte Liste von Kompromittierungsindikatoren auf seiner GitHub-Seite veröffentlicht.