Gruparea rusă de spionaj cibernetic Turla, asociată cu FSB, ar fi compromis o instituție guvernamentală din România pe 23 decembrie 2025. Atacul a folosit un instrument sofisticat numit Cereal, configurat special pentru a sustrage corespondența legată de NATO și Uniunea Europeană. Descoperirea aparține cercetătorilor de la ESET.
Compania de securitate cibernetică ESET a descoperit o nouă infrastructură de spionaj digital folosită de gruparea Turla, cunoscută și sub denumirea de Snake. Specialiștii în securitate informatică consideră această grupare drept o structură subordonată Serviciului Federal de Securitate al Rusiei (FSB).
Investigația arată că două organizații guvernamentale naționale au fost compromise prin acest instrument. Primul atac a fost identificat în Kazahstan, pe 28 noiembrie 2025. Al doilea caz a fost descoperit în România, unde sistemul informatic ar fi fost compromis pe 23 decembrie 2025.
Ținta: corespondența NATO și UE
Cea mai sensibilă parte a operațiunii privește exact obiectivele urmărite în țara noastră. Componenta responsabilă cu colectarea mesajelor, denumită CerealBox, a fost setată să selecteze strict corespondența electronică legată de instituțiile NATO și ale Uniunii Europene.
Cercetătorii consideră că atacul asupra României capătă relevanță prin apartenența țării la NATO și UE, dar și prin tensiunile de securitate din zona Mării Negre. Identitatea instituției românești compromise nu a fost făcută publică, la fel ca amploarea exactă a informațiilor sustrase. Concluziile raportului indică însă un interes direct pentru politica externă și de apărare a României.
„Cazul din România este notabil deoarece o componentă a fost configurată să colecteze mesaje care implică adrese instituționale ale NATO și UE. Această orientare corespunde unor priorități de lungă durată ale serviciilor de informații ruse. De asemenea, situația ar putea fi legată de tensiunile regionale: România a raportat mai multe incidente în care drone rusești s-au prăbușit în apropierea teritoriului său, ceea ce a provocat reacții ferme din partea autorităților”, subliniază studiul ESET.
Cum funcționează instrumentul de spionaj
Virusul folosit de atacatori are o componentă centrală concepută special pentru a urmări fluxul de mesaje. Acesta se infiltrează în procesul care gestionează trimiterea e-mailurilor. Metoda este greu de depistat pentru că modifică procese deja active pe server, fără să atragă atenția administratorilor de rețea.
Selecția mesajelor s-a făcut după criterii precum expeditorul, destinatarul, subiectul sau numele fișierelor atașate. Cercetătorii au observat că programul prelua inclusiv e-mailuri cu documente în format text și PDF. Mesajele identificate erau comprimate, criptate și păstrate temporar, urmând a fi preluate ulterior de operatorii atacului. Corespondența originală continua între timp să ajungă normal la destinatari, astfel încât sistemul instituției părea să funcționeze fără probleme.
Instrumentul depistat de ESET este, de fapt, un ansamblu de viruși construit pentru serverele Microsoft Exchange, platformă folosită pe scară largă de guverne și companii pentru administrarea e-mailurilor. Spre deosebire de atacurile cibernetice obișnuite, acest program a fost gândit să rămână nedetectat cât mai mult timp posibil.
Comenzile sunt executate direct în memoria serverului, cu tehnici avansate de criptare care lasă foarte puține urme în sistem. O particularitate importantă este lipsa unei infrastructuri externe clasice de comandă și control, folosită de obicei pentru comunicarea periodică cu servere externe de unde primesc instrucțiuni și către care trimit datele furate.
În acest caz, atacatorii au transformat chiar serverul compromis în propriul centru de comandă. Infrastructura victimei a fost astfel folosită pentru derularea atacului, ceea ce complică semnificativ identificarea activității malițioase și urmărirea celor responsabili.
