Grupul rus de spionaj Turla, asociat cu FSB, a vizat România prin atacuri cibernetice sofisticate

Cercetătorii ESET au descoperit un toolset malware nou, denumit Cereal, utilizat de grupul Turla (legat de Rusia) pentru spionaj cibernetic pe termen lung. Instrumentul a compromis servere Microsoft Exchange ale unor organizații guvernamentale din Kazahstan (la 28 noiembrie 2025) și România (la 23 decembrie 2025). În cazul României, modulul CerealBox a fost configurat specific pentru a identifica mesajele trimise către sau primite de la adrese instituționale NATO și ale Uniunii Europene, conform raportului publicat de ESET pe WeLiveSecurity.

ESET atribuie cu un grad ridicat de încredere activitatea grupului Turla (cunoscut și sub denumirea de Snake), care activează din 2004 și este larg considerat parte a Serviciului Federal de Securitate al Rusiei (FSB). Țintele grupului includ în principal guverne, misiuni diplomatice și organizații de apărare din Europa, Asia Centrală și Orientul Mijlociu.

Caracteristica distinctivă a campaniei este absența unei infrastructuri externe de comandă și control (C&C). Backdoor-ul principal, CerealNeuron, rulează pasiv pe serverul Exchange compromis, așteptând cereri web criptate ce imită traficul legitim de Outlook Web Access, Autodiscover sau ActiveSync. Cererile valide sunt executate, iar cele invalida sunt redirecționate spre pagini de eroare standard, transformând serverul victimei în propriul punct de comandă și eliminând nevoia de infrastructură externă detectabilă.

Toolset-ul este modular și include componente precum CerealLoader (încărcare ansambluri .NET criptate), CerealRunner și CerealSprinter (transport binare și comenzi), CerealNeuron (backdoor pasiv), CerealHermit (citire comenzi din fișiere locale), CerealIron (injector pentru procese non-.NET), CerealBox (colectare emailuri) și CerealMoth (încărcare metode specifice). Comenzile sunt livrate ca programe .NET mici, sugerând un framework intern de automatizare.

CerealBox folosește o tehnică nedispublicată anterior, injectându-se direct în procesul EdgeTransport.exe și deturnând handler-ele agenților de transport deja încărcați în memorie. Wrapper-ele malițioase execută logica de colectare înainte de a returna controlul codului original, permițând fluxului normal de email. Modulul selectează mesajele cu atașamente .doc, .docx sau .pdf și care corespund criteriilor hardcodate (expeditor, destinatar, subiect, nume atașament). Datele interesante sunt comprimate, criptate și stocate pe disc pentru recuperare ulterioară.

Toolset-ul utilizează tehnici .NET avansate pentru a evita analiza: CerealLoader execută cod nativ înainte de inițierea runtime-ului .NET, folosind Vtable Fixups și imitând DLL-uri Windows legitime (ex. ncobjapi.dll). Abuzul cache-ului de imagini native .NET permite încărcarea fișierelor malițioase cu nume care mimică bibliotecile oficiale Exchange, astfel încât runtime-ul să încarce versiunea coruptă.

Contextul geopolitic relevă prioritățile rusești: concentrarea asupra NATO și UE în România corespunde tensiunilor regionale, inclusiv incidentelor cu drone rusești de la începutul lui 2025. În Kazahstan, vizarea unei organizații guvernamentale pare legată de dorința de a monitoriza disidenții ruși, țara demarând procese de deportare a exilaților ruși și criticilor regimului în ianuarie 2026. Activitatea Turla în Kazahstan a crescut pe 15 ianuarie 2026, ziua de după 'Anul Nou Vechi'.

ESET descrie Cereal ca un instrument pentru spionaj cibernetic stealth, care lasă puține urme pe disc și se ascunde în procese legitime. Nivelul de sofisticare al tehniciilor .NET utilizate (puncte de intrare nemijlocite, abuz de cache) reflectă o investiție inedită pentru actorii APT, transformând serverele Exchange în puncte de colectare durabile și hub-uri interne de execuție.

Serviciul Român de Informații (SRI) a confirmat atacul cibernetic lansat de gruparea rusă Turla asupra unei instituții guvernamentale din România, care colabora cu NATO și UE. Autoritățile au precizat că instituția a identificat agresorul și a implementat măsuri de contracarare, remediind efectele hackării. Atacul a vizat serverele Microsoft Exchange ale instituției, grupul Turla folosind un nou set de instrumente malițioase, denumit „Cereal”, pentru a intercepta e-mailurile de pe aceste servere.

ESET a identificat inițial programele malware .NET modulare pentru Microsoft Exchange la un organism guvernamental din Kazahstan, la sfârșitul anului 2025. O lună mai târziu, la finalul anului 2025, ESET a descoperit același set de instrumente și la o instituție guvernamentală din România, unde au colectat selectiv corespondența prin e-mail cu reprezentanți ai NATO și ai Uniunii Europene. Cercetătorii ESET au identificat compromisul instituției guvernamentale din România pe 23 decembrie 2025. Turla, cunoscută și sub denumirile Snake, Secret Blizzard sau Waterbug, este o grupare de ciberspionaj activă de peste două decenii și este legată de Serviciul Federal de Securitate (FSB) al Rusiei.

În această campanie, Turla a folosit setul de instrumente Cereal, în special componenta numită CerealBox, pentru a se instala în serverul care gestionează e-mailurile. Malware-ul execută comenzi în memorie și poate inspecta conținutul e-mailurilor fără a lăsa urme pe disc. Criminalii au configurat malware-ul să colecteze selectiv mesajele care conțineau atașamente de documente (fișiere .doc, .docx și .pdf) și care respectau anumite criterii legate de expeditor, destinatar și subiect. Hackerii au folosit, de asemenea, CerealNeuron, o altă componentă malware, pentru a transmite la distanță comenzi către serverul compromis, folosind infrastructura de e-mail pentru această comunicare. Compania ESET a publicat o listă extinsă de indicatori de compromitere (IoC) pe pagina sa de GitHub. SRI a confirmat atacul cibernetic al hackerilor Turla.

„Referitor la cea mai recentă investigație apărută în spațiul public, privind compromiterea unei instituții guvernamentale din plan național de către actorul cibernetic rus APT TURLA, precizăm faptul că SRI/CNC a identificat acest atac cibernetic și a implementat măsuri de contracarare a acestuia și de remediere a efectelor sale. De asemenea, SRI/CNC a informat beneficiarii legali și, totodata, aspectele respective au facut obiectul cooperarii cu partenerii europeni la nivelul comunitatii de intelligence precum si cu cei din la nivelul UE și NATO”, a transmis SRI, la solicitarea G4Media. SRI a mai menționat că la nivelul Centrului Național Cyberint sunt întreprinse în mod recurent investigații specifice privind atacurile cibernetice derulate de către Federația Rusă la adresa instituțiilor din România. SRI/CNC intervine constant pentru identificarea, analizarea și mitigarea acestor atacuri cibernetice. „SRI/CNC are în derulare măsuri investigative complexe care vizează și alte secvențe conectate cu campanii cibernetice implementate de Federația Rusă”, a mai transmis SRI. „SRI/CNC va continua să acționeze constant pentru identificarea și investigarea oricăror noi tentative de compromitere a instituțiilor din plan național”, a mai spus SRI.

SRI a confirmat neutralizarea unei încercări de cyberatac de grupul rus de spioni Turla asupra unei instituții guvernamentale din România care lucrează cu NATO și UE, detaliile tehnice fiind publicate de cercetătorii ESET.

Conform SRI, atacatorii au exploatat multiple vulnerabilități ale sistemelor de operare Microsoft pentru a încerca accesarea infrastructurii vizate, utilizând un toolkit sofisticat identificat de ESET ca „Cereal”. Malware-ul includea module specifice pentru infectarea serverelor Microsoft Exchange și colectarea selectivă a e-mailurilor, dar nu a reușit să finalizeze exfiltrarea datelor.

Intervenția Centrului Național Cyberint (CNC) SRI a permis oprirea atacului, remedierea serviciului de e-mail afectat și blocarea mecanismelor de comandă și control ale hackerrilor. Tehnica „Cereal” era concepută să acționeze pe serverul victimei fără o infrastructură externă de C&C, transformând dispozitivul compromiță într-un punct propriu de comandă.

SRI a precisat că nu au fost identificate exfiltrări de date sensibile din sistemele informatice atacate. Beneficiarul legal al instituției vizate a fost informat imediat, iar incidentul a fost supus cooperării cu partenerii din comunitatea de intelligence europeană, precum și cu structurile UE și NATO.

„Referitor la cea mai recentă investigație... privind compromiterea unei instituții guvernamentale din plan național de către actorul cibernetic rus APT TURLA, precizăm faptul că SRI/CNC a identificat acest atac cibernetic și a implementat măsuri de contracarare a acestuia și de remediere a efectelor sale. [...] aspectele respective au făcut obiectul cooperarii cu partenerii europeni la nivelul comunitatii de intelligence precum si cu cei din la nivelul UE și NATO”, a transmis SRI. Serviciul a menționat că la nivelul CNC sunt întreprinse în mod recurent investigații specitive privind atacurile derulate de Federația Rusă la adresa instituțiilor din România.

„SRI/CNC are în derulare măsuri investigative complexe care vizează și alte secvențe conectate cu campanii cibernetice implementate de Federația Rusă”, a mai transmis SRI. „SRI/CNC va continua să acționeze constant pentru identificarea și investigarea oricăror noi tentative de compromitere a instituțiilor din plan național”, a conchis serviciul. Cercetătorii ESET au publicat deja o listă extinsă de indicatori de compromitere (IoC) pe GitHub, detaliind tehnologiile .NET și strategiile de ascundere ale toolset-ului Cereal.

SRI/CNC își menține angajamentul de a monitoriza și neutraliza continuu amenințările cibernetice destinate infrastructurii naționale.

Investigațiile se axează nu doar pe incidentul din decembrie 2025, ci și pe alte secvențe și campanii cibernetice mai largi atribuite Federației Ruse.

Serviciul va continua acțiunile de identificare și investigare a tentativelor de compromitere a instituțiilor din România, în contextul creșterii pericolului cibernetic.

Gruparea APT TURLA este confirmată de SRI drept actorul cibernetic rus responsabil de tentatica de atac cibernetic identificată la sfârșitul anului 2025.

Serviciul Român de Informații (SRI) a anunțat miercuri, 11 noiembrie 2026, că a oprit un atac cibernetic lansat de gruparea rusă APT Turla asupra unei instituții guvernamentale din România. Incapacitatea de a finaliza exfiltrarea datelor a fost confirmată de Centrul Național Cyberint (CNC), care a intervenit pentru a limita efectele și a remedia problemele de securitate.Cotidianul

În urma intervenției CNC, atacul a fost blocat, iar serviciul de e-mail afectat a fost remediat. Reprezentanții SRI susțin că nu au fost descoperite dovezi privind extragerea unor informații sensibile. Instituția vizată nu și-a dezvăluit numele.Cotidianul

În contextul acestei campanii, CNC a intensificat monitorizarea amenințărilor cibernetice și a investigat alte tentative de compromitere a sistemelor informatice ale instituțiilor din România, asociate Federației Ruse.Cotidianul

Un grup de hackeri afiliat Serviciului Federal de Securitate al Rusiei (FSB) a încercat să spioneze o instituție guvernamentală din România, dezvăluind specialiștii de la ESET, unul dintre cei mai cunoscuți furnizori europeni de antivirus și protecție IT.

Conform unor informații, hackerii ar fi avut acces la corespondența prin e-mail a instituției vizate, dar SRI a precizat ulterior că nu au fost identificate exfiltrări de date sensibile.

Serviciul Român de Informații (SRI) a confirmat atacul, pus la cale de către actorul cibernetic rus APT TURLA, și a anunțat că Centru Național Cyberint (CNC) a identificat incidentul și a implementat măsuri eficiente de contracarare.

„SRI, prin Centrul Național Cyberint, a identificat acest atac cibernetic în decembrie 2025 și a implementat măsuri de contracarare a acestuia și de remediere a efectelor sale. Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft, însă în urma intervenției Centrului Național Cyberint atacul a fost oprit. Nu au fost identificate exfiltrări de date sensibile, serviciul de e-mail afectat fiind remediat. De asemenea, SRI a informat beneficiarii legali și, totodată, aspectele respective au făcut obiectul cooperării cu partenerii europeni, la nivelul comunității de intelligence, precum și cu cei de la nivelul UE și NATO”, se arată într-un comunicat al SRI.

Potrivit SRI, Centrul Național Cyberint are în derulare măsuri investigative complexe care vizează și alte secvențe conexate cu campanii cibernetice implementate de Federația Rusă și va continua să acționeze constant pentru identificarea și investigarea oricăror noi tentative de compromitere a instituțiilor din plan național.

Turla, cunoscută și sub numele Snake, este activă cel puțin din 2004 și este considerată pe scară largă parte a FSB, potrivit analizei publicate de ESET la 10 noiembrie 2026. Printre țintele sale obișnuite se numără guverne, misiuni diplomatice și organizații din domeniul apărării, în principal din Europa, Asia Centrală și Orientul Mijlociu.

România s-a confruntat și cu atacuri revendicate de alte grupări pro-ruse. În mai 2022, Killnet a revendicat atacuri asupra site-urilor unor aeroporturi românești, inclusiv „Henri Coandă”. Paginile au devenit inaccesibile, însă siguranța zborurilor nu a fost afectată, potrivit informațiilor publicate atunci. Atacurile au fost descrise drept probabil de tip DDoS, care urmăresc blocarea accesului la servicii online, nu spionarea corespondenței.

La nivel european, gruparea pro-rusă NoName057(16) a fost vizată în iulie 2025 de o operațiune internațională împotriva atacurilor DDoS. Potrivit procurorilor germani, gruparea recrutase prin Telegram peste 4.000 de voluntari care își puneau sistemele la dispoziție pentru blocarea serverelor. Țintele au inclus servicii guvernamentale, bancare, de sănătate și telecomunicații din state europene care sprijină Ucraina. În acest dosar, procurorii nu au stabilit însă o legătură specifică între suspecți și statul rus.

Un atac cibernetic atribuit grupării ruse APT TURLA a vizat, în decembrie 2025, o instituție guvernamentală din România. Serviciul Român de Informații (SRI) a anunțat că a identificat atacul și a intervenit pentru a-l opri, după ce hackerii au exploatat mai multe vulnerabilități ale sistemelor Microsoft. Potrivit instituției, atacul nu a dus la furtul unor date sensibile, iar serviciul de e-mail afectat a fost reparat. Referitor la informațiile apărute în spațiul public privind încercarea de compromitere a unei instituții guvernamentale din plan național, la sfârșitul anului trecut, de către actorul cibernetic rus APT TURLA, Serviciul Român de Informații face următoarele precizări: SRI, prin Centrul Național Cyberint, a identificat acest atac cibernetic în decembrie 2025 și a implementat măsuri de contracarare a acestuia și de remediere a efectelor sale. Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft, însă în urma intervenției Centrului Național Cyberint atacul a fost oprit. Nu au fost identificate exfiltrări de date sensibile, serviciul de e-mail afectat fiind remediat”, a transmis SRI. SRI investighează și alte atacuri cibernetice Serviciul Român de Informații continuă investigațiile pentru a stabili dacă atacul are legătură și cu alte operațiuni cibernetice desfășurate de Rusia. „De asemenea, SRI a informat beneficiarii legali și, totodată, aspectele respective au făcut obiectul cooperării cu partenerii europeni, la nivelul comunității de intelligence, precum și cu cei de la nivelul UE și NATO. SRI/ Centrul Național Cyberint are în derulare măsuri investigative complexe care vizează și alte secvențe conexate cu campanii cibernetice implementate de Federația Rusă. SRI/ Centrul Național Cyberint va continua să acționeze constant pentru identificarea și investigarea oricăror noi tentative de compromitere a instituțiilor din plan național”, a transmis SRI într-un comunicat.

MediaFax

Zeci de supermarketuri, atacate de hackeri. Zeci de supermarketuri din mai multe țări europene au fost afectate de un presupus atac cibernetic asupra sistemelor de refrigerare, care a dus la creșterea temperaturii din unele congelatoare până la 50 de grade Celsius și la compromiterea alimentelor. Aproximativ 40 de magazine Delhaize din Belgia și Luxemburg au fost vizate, alături de unități din Suedia, Irlanda, Țările de Jos, Estonia și Finlanda. Compania belgiană Sabcobel, care gestionează o parte dintre echipamentele frigorifice, a transmis că atacatorii au activat de la distanță modul de dezghețare al instalațiilor. Metoda ar fi similară cu cea folosită într-un atac asupra supermarketurilor din Franța. Pagubele din unele magazine au ajuns la zeci sau sute de mii de euro, iar valoarea totală a alimentelor care au fost aruncate este estimată la milioane de euro. Recent, un atac cibernetic asupra serviciului național de transfuzie din Franța a permis hackerilor să modifice temperatura din trei depozite frigorifice cu produse sanguine. Cazul se înscrie într-un val de atacuri similare asupra sistemelor de refrigerare din mai multe țări europene. Institutul Francez al Sângelui (Établissement français du sang EFS) a anunțat că, în urma atacului, hackerii au modificat setările de temperatură și de dezghețare la niveluri neobișnuit de ridicate. Alarmele au alertat personalul tehnic la timp, astfel că produsele sanguine nu au fost afectate.

Centrul Național Cyberint (CNC) al SRI a identificat în decembrie 2025 o încercare de compromis a infrastructurii IT a unei instituții guvernamentale din România, realizată de actorul cibernetic rus APT TURLA, și a contracarată atacul.

Conform comunicatului SRI din 11 noiembrie 2026, atacatorii au exploatat multiple vulnerabilități sistemice ale sistemelor de operare Microsoft pentru a ataca infrastructura vizată.

Intervenția specialiștilor CNC a dus la stoparea atacului și remedierea serviciului de e-mail afectat.

SRI apreciază că nu s-au identificat exfiltrări de date sensibile, autoritățile nefindoind dovezi ale extragerii de informații confidentiale din sistemele compromise.

Beneficiarii legali ai instituției vizate au fost informați imediat, iar incidentul a făcut obiectul cooperării cu partenerii europeni din comunitatea de intelligence, precum și cu structurile UE și NATO.

CNC continuă să desfășoare investigații complexe care vizează alte secvențe și campanii cibernetice atribuite Federației Ruse.

SRI își menține angajamentul de a continua acțiunile de identificare și investigare a tentativelor de comprometere a instituțiilor din România, în contextul amenințărilor cibernetice la adresa infrastructurii naționale.

Serviciul identifică grupul APT TURLA drept actorul cibernetic rus implicat în tentativa de atac detectată la sfârșitul anului 2025.

SRI a menționat că va acționa constant pentru identificarea și investigarea oricăror noi tentative de compromis ale instituțiilor de plan național.

Autoritatea de securitate cibernetică confirmă implicarea TURLA în incidentul analizat, alăturându-se confirmărilor anterioare despre atribuirea atacurilor cibernetice împotriva României.

Serviciul Român de Informații (SRI) a transmis printr-un comunicat detalii privind dejucarea unui atac cibernetic lansat de gruparea de hackeri ruși APT TURLA. Incidentul a vizat o instituție guvernamentală din România la sfârșitul anului 2025, hackers-ii urmărind de asemenea o instituție din Kazahstan. SRI, prin Centrul Național Cyberint (CNC), a identificat acțiunea ostilă în luna decembrie 2025. „Referitor la informațiile apărute în spațiul public privind încercarea de compromitere a unei instituții guvernamentale din plan național, la sfârșitului anului trecut, de către actorul cibernetic rus APT TURLA, Serviciul Român de Informații face următoarele precizări: „SRI, prin Centrul Național Cyberint, a identificat acest atac cibernetic în decembrie 2025. A implementat măsuri de contracarare a acestuia și de remediere a efectelor sale. Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft, însă în urma intervenției Centrului Național Cyberint atacul a fost oprit”, transmit reprezentanții SRI. SRI: Nu au fost identificate exfiltrări de date sensibile Nu au fost identificate exfiltrări de date sensibile, au mai transmis reprezentanții SRI, iar serviciul de e-mail afectat a fost remediat. „SRI a informat beneficiarii legali. Totodată, aspectele respective au făcut obiectul cooperării cu partenerii europeni, la nivelul comunității de intelligence, precum și cu cei de la nivelul UE și NATO. SRI/ Centrul National Cyberint are în derulare măsuri investigative complexe care vizează și alte secvențe conexate cu campanii cibernetice implementate de Federația Rusă”, s-a mai precizat în comunicat.

Europarlamentarul Dragoş Benea, vicepreşedinte al PSD, a adresat o reacție publică, calmând pe cei care se opun reformei administrativ-teritoriale și afirmând: „Localitățile nu vor dispărea, satul rămâne”. Cum erau interceptate mesajele oficialilor Virusul folosit de ruși are o componentă centrală special concepută pentru a monitoriza fluxul de mesaje, au specificat și cercetătorii ESET. Programul se infiltrează în procesul din spatele mesajelor trimise. Metoda este deosebit de discretă pentru că modifică procese care sunt deja încărcate pe server,astfel nu atrage atenția administratorilor de rețea. Mesajele au fost analizate în funcție de criterii prestabilite. Cercetătorii au constatat că instrumentul selecta inclusiv e-mailuri care conțineau documente în formate de documente scrise și PDF. Mesajele vizate erau comprimate, criptate și stocate temporar, pentru a fi recuperate ulterior de operatorii atacului. În tot acest timp, corespondența originală își continua traseul normal către destinatari, sistemul instituției funcționând aparent fără probleme. Un instrument invizibil ascuns în serverele instituțiilor Instrumentul descoperit de cercetătorii ESET este un ansamblu de viruși proiectat pentru a funcționa pe servere Microsoft Exchange, o platformă utilizată la scară largă de guverne și companii pentru administrarea e-mailurilor. Spre deosebire de atacurile cibernetice convenționale, noul virus este construit pentru a rămâne nedetectat o perioadă cât mai îndelungată. Programul execută comenzi direct în memoria serverului. Utilizează tehnici avansate de criptare și lasă foarte puține urme în sistem. O particularitate a operațiunii este absența unei infrastructuri externe clasice de comandă și control. În mod normal, programele de acest tip comunică periodic cu servere externe pentru a primi instrucțiuni și a transmite datele furate.

Serviciul Român de Informații (SRI) a confirmat miercuri, 11 noiembrie 2026, că o instituție guvernamentală din România a fost vizată de un atac cibernetic atribuit grupării ruse de spionaj APT Turla.

Cercetătorii ESET au stabilit că serverul instituției românești a fost compromis la data de 23 decembrie 2025, în cadrul aceleiași campanii care a vizat și o organizație guvernamentală din Kazahstan (compromisă la 28 noiembrie 2025).

Atacatorii au utilizat un set de instrumente malware nou, denumit „Cereal”, conceput special pentru serverele Microsoft Exchange, permițând colectarea discretă a mesajelor electronice.

ESET atribuie operațiunea grupării Turla (cunoscută și sub numele de Snake) cu un grad ridicat de încredere, aceasta fiind considerată parte integrantă a Serviciului Federal de Securitate al Rusiei (FSB).

În cazul românesc, malware-ul a fost configurat specific pentru a identifica și colecta e-mailurile trimise către sau primite de la reprezentanți ai NATO și ai Uniunii Europene.

Instrumentele Cereal au fost proiectate pentru a rămâne ascunse în procesele legitime ale serverelor, executând comenzi și analiza fluxului de mesaje direct în memoria sistemului.

Modulul CerealBox intervenea în procesarea corespondenței, filtrând mesajele în funcție de expeditor, destinatar, subiect și atașamente (inclusiv fișiere .doc, .docx și .pdf), comprimând și criptând datele interesante pentru recuperare ulterioară.

O caracteristică distinctivă a atacului a fost absența unei infrastructuri externe de comandă și control (C&C); serverul victimei a fost transformat într-un punct propriu de comandă, iar programul a lăsat puține urme pe disc.

Atacul a exploatat vulnerabilități ale sistemelor de operare Microsoft, iar intervenția Centrului Național Cyberint (CNC) al SRI a permis stoparea incidentului și remedierea serviciului de e-mail afectat.

SRI a confirmat pentru G4Media complicitatea Turla în incident, menționând că nu au fost identificate exfiltrări de date sensibile din sistemele compromise.

Autoritățile au informat beneficiarii legali ai instituției vizate și au cooperat cu partenerii din comunitatea de intelligence europeană, precum și cu structurile UE și NATO.

SRI/CNC continuă investigarea atacurilor cibernetice atribuite Federației Ruse și menține măsuri constante pentru identificarea noilor tentative de compromitere a instituțiilor din plan național.

Centrul Național Cyberint desfășoară măsuri investigative complexe care vizează și alte episoade asociate campaniilor cibernetice rusești mai largi.

Cercetătorii ESET au identificat două instituții guvernamentale compromise prin intermediul setului Cereal: una din Kazahstan (noiembrie 2025) și una din România (decembrie 2025).

Gruparea Turla, activă din 2004, este asociată de specialiști cu serviciile de informații rusești și își orientează operațiunile spre spionaj cibernetic în rețelele organizațiilor guvernamentale.

ESET estimează că aproximativ 70% dintre țările vizate de Turla începând cu 2022 sunt foste republici sovietice sau state europene cu legături strânse cu URSS.

Înainte de publicarea investigației ESET, identitatea instituției guvernamentale românești vizate nu a fost revelată, iar nu au fost comunicate volumele sau consecințele concrete ale interceptărilor.

Operațiunea viza obținerea selectivă a corespondenței cu NATO și UE; SRI a confirmat intervenția, dar nu a prezentat public toate detaliile tehnice ale incidentului.

Incidentul subliniază riscurile de securitate cibernetică pentru instituțiile care gestionează informații sensibile, investigțiile SRI și cooperarea internațională continuând.

Conform analizei ESET, malware-ul CerealBox era configurat specific să monitorizeze și să caute corespondența purtată de oficialii instituției cu adrese instituționale aparținând NATO și Uniunii Europene. Filtrul selectivea mesajele cu atașamente în formate uzuale sau cu anumite cuvinte-cheie, datele fiind apoi criptate și pregătite pentru exfiltrare.

Serviciul Român de Informații (SRI) a confirmat miercuri, 11 noiembrie 2026, că a identificat un atac cibernetic desfășurat în decembrie 2025 de către „actorul cibernetic rus APT TURLA” și a implementat măsuri pentru contracararea acestuia și remedierea efectelor sale. Într-un comunicat, SRI a precizat că atacatorii au exploatat vulnerabilități sistemice ale sistemelor de operare Microsoft. Intervenția Centrului Național Cyberint (CNC) a permis oprirea atacului și remedierea serviciului de e-mail afectat, nefiind identificate exfiltrări de date sensibile. Precizările SRI vin în urma apariției în spațiul public a informațiilor privind încercarea de compromitere a unei instituții guvernamentale din plan național de către APT TURLA. SRI a informat beneficiarii legali ai instituției vizate și a colaborat cu partenerii europeni din comunitatea de intelligence, precum și cu structurile UE și NATO privind incidentul. CNC SRI are în derulare măsuri investigative complexe care vizează alte secvențe conexe campaniilor cibernetice implementate de Federația Rusă. Serviciul a reiterat angajamentul de a continua acțiunile pentru identificarea și investigarea oricăror noi tentative de compromitere a instituțiilor din plan național. Cercetătorii ESET au identificat România ca țintă a unui atac cibernetic la finalul anului 2025, folosind un set de instrumente malware numit „Cereal”. Acesta includea un modul de colectare e-mailuri Exchange și mecanisme de comandă și control (C&C) sofisticate. ESET a detectat ținte în Kazakhstan și România, unde malware-ul a fost configurat pentru a colecta e-mailuri legate de NATO și UE.

Experții ESET nu pot exclude posibilitatea ca unele informații să fi fost sustrase din instituția guvernamentală din România vizată de spionajul cibernetic al grupării Turla, chiar dacă Serviciul Român de Informații (SRI) a confirmat că nu au fost identificate exfiltrări de date sensibile. De asemenea, cercetătorii au observat activitatea hackerilor ruși inclusiv în ianuarie 2026, după ce atacul inițial a fost identificat în decembrie 2025.

Cercetătorii ESET precizează că nu au dovezi concrete privind modul exact de acces inițial al hackerilor în sistem, dar confirmă că au reușit să compromită un server Microsoft Exchange. Aceste servere de e-mail sunt accesibile de pe internet, iar exploatarea unei vulnerabilități la nivelul serverului este un scenariu frecvent în astfel de atacuri.

Instrumentele malițioase atribuite grupării APT Turla, asociată FSB rus, sunt extrem de sofisticate și includ un ansamblu de toolset-uri noi, detectat pentru prima dată în această campanie și conceput special pentru extragerea e-mailurilor de pe serverele Exchange. Programul căuta destinatari specifici, interesându-se îndeosebi de corespondența cu organizații din cadrul NATO sau al Uniunii Europene.

Robert Lipovský, cercetător principal ESET, explică faptul că grupările APT sofisticate precum Turla rămân de regulă mult timp în interiorul organizațiilor de mare interes înainte de a fi detectate. Activitatea programului malițios a fost observată în decembrie și apoi în ianuarie, conform datelor de telemetrie, deși detaliile cronologiei exacte sunt lăsate pe seama SRI, care s-a ocupat de răspunsul la incident.

Deși ESET nu a observat dovezi directe că informații sensibile au fost efectiv extrase din sistem, nu poate exclude această posibilitate. Programul malițios avea capacitatea de a face acest lucru, dar lipsesc datele de telemetrie necesare pentru a stabili ce informații au fost sau nu au fost extrase. Situația este tratată cu prudență având în vedere capacitățile avansate ale grupării.

Acest caz este doar unul dintre numeroasele atacuri pe care ESET le observă împotriva României, vizată în mod special de grupări APT asociate Rusiei, fenomen constatater în repetate rânduri nu doar în România, ci și în alte țări europene, și care se înscrie în situația geopolitică actuală.

Nu există indicii care să leagă incidentele de sabotaj fizic, precum incendiul de la fabrica de armament Carfil din Brașov, de activitatea cibernetică a Turla. Deși în alte contexte, cum este Ucraina, atacurile cibernetice pot fi însoțite de lovituri fizice, pentru cazul de față nu se poate stabili o asemenea legătură.

Risksul major pentru securitatea națională derivă din lipsa de personal calificat și capacitate de apărare cibernetică în multe organizații. ESET felicită specialiștii români pentru gestionarea incidentului, dar subliniază că, în cazul multor alte organizații, mai mici, constată adesea sisteme insuficient securizate sau acces fără autentificare, o slăbiciune exploatată frecvent.

Amenințările hibride sunt foarte frecvente și esențiale de urmărit. Este crucial să se utilizeze informațiile despre amenințările cibernetice și să existe o bună înțelegere a acestor activități pentru a crește gradul de conștientizare și capacitatea de răspuns.

Cercetătorii de la ESET au descoperit un nou set de instrumente, denumit „Cereal”, care include un modul inovator de colectare a e-mailurilor Exchange, un mecanism unic de comandă și control (C&C) și trucuri sofisticate de execuție .NET.

ESET a identificat două victime: o organizație guvernamentală din Kazahstan și una din România, unde „Cereal” a fost configurat să identifice și să colecteze e-mailurile trimise către sau primite de la NATO și UE. ESET Research atribuie „Cereal”, cu un nivel ridicat de încredere, grupului APT Turla, aliniat cu Rusia.

Serviciul Român de Informaţii (SRI) a confirmat, miercuri, că a identificat un atac cibernetic efectuat în decembrie 2025 de către „actorul cibernetic rus APT TURLA” și a implementat măsuri de contracarare a acestui atac şi de remediere a efectelor sale.

Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft, însă în urma intervenției Centrului Național Cyberint atacul a fost oprit. Nu au fost identificate exfiltrări de date sensibile, serviciul de e-mail afectat fiind remediat, potrivit unui comunicat al SRI.

Pres Internațională confirmă detaliile atcului cibernetic: Reuters relatează despre identificarea de către Serviciul Român de Informații (SRI) a unui grup de hackeri legați de Serviciul Federal de Securitate al Rusiei (FSB), care a vizat o instituție guvernamentală din România.