Cercetătorii de la ESET Research au descoperit că o organizație guvernamentală din România a fost compromisă începând cu data de 23 decembrie 2025. Un program malicios instalat pe serverul de e-mail al instituției căuta activ corespondență electronică destinată sau provenită de la adrese instituționale NATO și ale Uniunii Europene. ESET Research nu identifică oficial instituția guvernamentală din România vizată, dar specifică că analiza se referă strict la corespondența aflată în sistemul românesc, fără a indica compromiterea directă a infrastructurilor NATO sau UE. Conform analizei, activitatea atacatorilor a crescut în intensitate la data de 20 ianuarie 2026. analizei ESET Research
Atacul utilizează instrumentarul grupării Turla (cunoscută și sub denumirile Snake, Secret Blizzard sau Waterbug), care este considerată pe scară largă parte integrantă a Serviciului Federal de Securitate al Rusiei (FSB). Acest set de instrumente a fost detectat anterior, la 28 noiembrie 2025, la o organizație guvernamentală din Kazahstan.
Componenta malitioasă numită CerealBox funcționa pe platforma Microsoft Exchange, fiind configurată să identifice mesajele schimbate cu adrese din domeniile nato.int și europa.eu. Lista de destinatari vizată includea și un număr redus de persoane care par a fi implicate în activități guvernamentale legate de NATO și UE.
Programul filtrază mesajele care conțin atașamente în formate .doc, .docx sau .pdf, aplicând criterii precum expeditorul, destinatarul, subiectul și numele fișierului atașat. Conform descrierii tehnice ESET Research / WeLiveSecurity, mesajele selectate pot fi comprimate, criptate și pregătite pe serverul victimei pentru preluare ulterioară. descrierii tehnice ESET Research / WeLiveSecurity
Operatorii malițioși dispun de comenzi care permit citirea și ștergerea fișierelor colectate de pe serverul compromis. Cu toate acestea, cercetătorii nu au făcut publice dovezi că mesajele din cazul românesc au fost transferate efectiv în afara rețelei victimă, nici nu au furnizat un număr al mesajelor selectate sau copiate.
Cercetătorii ESET atribuie activitatea grupării Turla cu un grad ridicat de încredere, invocând utilizarea unei componente deja atribuite anterior grupării și similaritatea cu un program asociat acesteia într-un raport din 2017. Analiza nu identifică public persoanele care au operat programul în teritoriul românesc.
Turla își trage numele de la „serializare”, un proces de împachetare a datelor programului pentru a fi reconstituit ulterior. Componentele utilizează această abordare pentru a transporta programe .NET criptate, a le despacheta și a le rula în memorie, dificultând detectarea.
Cercetătorii ESET nu au reușit să stabilească modalitatea exactă a accesului inițial în rețeaua din România. Deși serverele Exchange erau conectate la internet, exploatarea unei vulnerabilități software rămâne o posibilitate neconfirmată.
ESET Research nu a identificat adresele IP de la care operatorii au accesat serverul victima. Constatările nu delimitează o vulnerabilitate specifică, o campanie de phishing sau un cont furat ca punct de intrare cert. Această distincție este importantă, deoarece Cereal descrie activitatea ulterioară compromiterii, nu o nouă metodă confirmată de pătrundere în Exchange.
Există o istorie a colaborării între Turla și alte grupări precum Gamaredon. Un articol anterior despre această colaborare descria o altă cale de spionaj pe termen lung, în care Gamaredon asigura accesul inițial înainte ca Turla să își implementeze backdoor-ul Kazuar, sugerând posibile modele similare de operare.
Spre deosebire de alte scenarii cunoscute, în acest caz nu se cunoaște cum au pătruns inițial atacatorii în niciuna dintre cele două organizații guvernamentale (Kazahstan și România). Serverele Exchange erau conectate la internet, dar nici o metodă de intrare nu a fost confirmată.
Compromisul continuă să fie limitat la infrastructura locală a instituției din România. Analiza subliniază faptul că, deși instrumentarul este sofisticat, nu există mențiuni despre extragerea datelor în afara țării sau despre impactul direct asupra sistemelor NATO și UE.
Analiza detaliază mecanismele de „deshorizontalizare” a atacului, unde serverul victimei este folosit ca punct propriu de comandă, reducând dependența de infrastructuri externe de control. analizei ESET Research
Programul Cereal continuă să funcționeze în fond, urmărind să minimizeze urmele pe disc și să mascheze activitatea malițioasă în procese legitime, menținând o prezență discretă și persistentă.