Rumuński wywiad SRI: Powstrzymano cyberatak grupy Turla na instytucję rządową

Atak wykryty w grudniu 2025 roku

Rumuńska Służba Wywiadowcza (SRI) przekazała 11 listopada 2026 roku, że jej Narodowe Centrum Cyberint zidentyfikowało cyberatak na instytucję rządową w grudniu 2025 roku. Centrum przeprowadziło działania naprawcze i zabezpieczające. Napastnicy wykorzystali szereg luk w systemach operacyjnych Microsoft, próbując przejąć infrastrukturę IT instytucji. Po interwencji centrum atak został zatrzymany, a usługa poczty elektronicznej przywrócona. SRI przypisuje operację rosyjskiej grupie APT TURLA.

Brak dowodów na kradzież danych

Śledczy nie znaleźli dowodów na to, że z przejętych systemów wykradziono poufne informacje. W oświadczeniu SRI czytamy:

„Nie zidentyfikowano eksfiltracji danych wrażliwych, a działanie dotkniętej usługi poczty elektronicznej zostało przywrócone.”

Agencja poinformowała, że odpowiednie podmioty prawne zostały powiadomione o incydencie. Sprawa była prowadzona we współpracy z europejskimi partnerami ze wspólnoty wywiadowczej oraz strukturami UE i NATO.

Analiza zestawu narzędzi Cereal autorstwa ESET

Firma ESET Research opublikowała swoją analizę 10 listopada 2026 roku. Opisuje ona zestaw złośliwego oprogramowania o nazwie Cereal, który zmienia przejęte serwery Microsoft Exchange w punkty dowodzenia i narzędzia do zbierania wiadomości e-mail. Pierwsze ślady wykryto 28 listopada 2025 roku w organizacji rządowej w Kazachstanie. Później, dzięki ulepszonym regułom detekcji, ujawniono drugi atak na rumuńską instytucję rządową, którego aktywność datuje się od 23 grudnia 2025 roku. ESET podaje, że aktywność napastników wzrosła 20 stycznia 2026 roku. ESET nie wymienia nazwy rumuńskiej organizacji i nie był w stanie ustalić, w jaki sposób napastnicy uzyskali początkowy dostęp, wskazując na wykorzystanie luki w zabezpieczeniach jedynie jako możliwość.

Komponent o nazwie CerealBox został skonfigurowany tak, aby wyłapywać wiadomości wymieniane z adresami w domenach nato.int i europa.eu, a także wiadomości zawierające załączniki.doc,.docx lub.pdf. Wybrane wiadomości mogły być kompresowane, szyfrowane i przygotowywane na serwerze do pobrania. ESET opisuje polecenia, które pozwalały operatorom na ich odczytywanie i usuwanie. ESET nie opublikował dowodów na to, że wiadomości z rumuńskiego przypadku opuściły sieć i nie podał liczby skopiowanych wiadomości. Badacze napisali:

„Znaleźliśmy ten sam zestaw narzędzi w instytucji rządowej w Rumunii, przejętej 23 grudnia 2025 roku.”

Powiązania z grupą Turla i FSB

ESET z dużą pewnością przypisuje tę aktywność grupie Turla, powołując się na ponowne wykorzystanie komponentu wcześniej przypisanego do tej grupy oraz podobieństwo do programu powiązanego z nią w raporcie z 2017 roku. Turla, znana również jako Snake, Secret Blizzard i Waterbug, działa od ponad dwóch dekad i według ESET jest powszechnie uważana za część rosyjskiej FSB. Analiza nie identyfikuje publicznie osób, które obsługiwały program w Rumunii. Typowe cele grupy Turla to rządy, misje dyplomatyczne i organizacje obronne, głównie w Europie, Azji Środkowej i na Bliskim Wschodzie. Rumunia mierzyła się już z innymi prorosyjskimi atakami: w maju 2022 roku grupa Killnet przyznała się do ataków na strony internetowe rumuńskich lotnisk, w tym Henri Coandă, które stały się niedostępne, choć bezpieczeństwo lotów nie było zagrożone. Ataki te opisano jako prawdopodobne DDoS, mające na celu blokowanie dostępu, a nie szpiegowanie korespondencji.

Śledztwo trwa

Narodowe Centrum Cyberint prowadzi złożone dochodzenia, które obejmują również inne incydenty powiązane z kampaniami cybernetycznymi przypisywanymi Rosji. SRI zapowiada, że będzie kontynuować prace nad identyfikacją i badaniem wszelkich nowych prób przejęcia instytucji w Rumunii. Analizowane są również inne ataki przypisywane Rosji. ESET opublikował rozszerzoną listę wskaźników kompromitacji na swojej stronie w serwisie GitHub.