România, vizată de un atac cibernetic atribuit Rusiei la finalul anului 2025
România s-a numărat printre țintele unui atac cibernetic desfășurat la finalul anului 2025 și atribuit unei grupări aliniate cu Moscova. Cercetătorii companiei de securitate ESET au descoperit un nou set de instrumente informatice, denumit „Cereal”, care include un modul inovator de colectare a e-mailurilor Exchange, un mecanism unic de comandă și control și tehnici sofisticate de execuție .NET.
În urma investigației, ESET a identificat două victime: o organizație guvernamentală din Kazahstan și una din România. În cazul celei din urmă, instrumentul „Cereal” a fost configurat special pentru a identifica și colecta e-mailurile trimise către sau primite de la NATO și Uniunea Europeană. ESET Research atribuie acest set de instrumente, cu un nivel ridicat de încredere, grupului APT Turla, aliniat cu Rusia.
Un instrument conceput pentru spionaj pe termen lung
Conceput să ruleze pe servere Microsoft Exchange, instrumentul primește comenzi, le execută în memorie, cartografiază organizația compromisă și colectează e-mailurile selectate. Specialiștii îl descriu drept un instrument construit cu grijă pentru spionaj cibernetic ascuns, pe termen lung, care lasă puține date pe disc, evită infrastructura externă ce ar putea fi descoperită și blocată și se ascunde în cadrul proceselor Exchange legitime.
Unul dintre cele mai notabile aspecte ale acestui set de instrumente este ceea ce ESET nu a găsit: infrastructura externă de comandă și control. În schimb, serverul Exchange compromis al victimei este cooptat să acționeze ca infrastructură de comandă și control. Folosirea unor trucuri .NET, cum ar fi punctele de intrare negestionate și abuzul memoriei cache native a imaginilor .NET, face ca acest set de instrumente să fie sofisticat în comparație cu majoritatea cazurilor APT recente cercetate de ESET.
Contextul regional al atacurilor
ESET a identificat două organizații guvernamentale naționale compromise de „Cereal” la sfârșitul anului 2025, situate în zone geografice apropiate de ținta cunoscută a Turla. Potrivit datelor de telemetrie ESET, aproximativ 70% dintre țările vizate de Turla din 2022 au făcut parte din fosta Uniune Sovietică sau sunt țări europene care au fost cândva strâns aliniate cu URSS.
Gruparea Turla, cunoscută și sub numele de Snake, este activă cel puțin din 2004 și este evaluată pe scară largă ca făcând parte din Serviciul Federal de Securitate al Rusiei. Cazul românesc este notabil deoarece o componentă, CerealBox, a fost configurată să colecteze mesaje care implică adrese instituționale NATO și UE, o concentrare ce se potrivește priorităților de lungă durată ale serviciilor de informații rusești.
Atacul din România vine într-un context regional tensionat: de la începutul anului 2025, țara a raportat mai multe drone rusești care fie au pătruns ilegal în spațiul aerian și au ieșit, fie s-au prăbușit, provocând reacții puternice din partea autorităților și apeluri la o misiune NATO în regiunea Mării Negre. În Kazahstan, atacul a avut loc de asemenea într-un context politic relevant, țara începând din ianuarie 2026 să deporteze unii exilați ruși și critici ai regimului care găsiseră anterior o siguranță relativă după invazia la scară largă a Ucrainei de către Rusia.
Modul de operare, explicat de cercetători
„Pe un server Exchange compromis, cea mai interesantă activitate nu este întotdeauna mesajul care ajunge în căsuța poștală a unui utilizator. Undeva într-un birou guvernamental național, un oficial trimite un e-mail unui coleg de la o alianță militară transnațională. Mesajul trece printr-un server Microsoft Exchange, exact așa cum ar trebui, și nimic nu pare suspect. Dar înainte ca e-mailul să părăsească clădirea, o bucată de cod îl examinează în liniște, decide că este interesant și pune deoparte o copie pentru a fi transmisă ochilor curioși, în timp ce e-mailul original își continuă drumul”, a explicat Matías Porolli, cercetător ESET.
„Deoarece instrumentele se bazează în mare măsură pe serializare, o tehnică de împachetare a datelor și a codului pentru transport, le-am dat nume care încep cu prefixul «Cereal». Ceea ce face ca acest set de instrumente să iasă în evidență este combinația de tehnici noi care necesită cunoștințe aprofundate despre componentele interne ale Exchange, combinate cu metode neobișnuite de execuție .NET”, a adăugat Porolli.
Reconstrucția atacului a scos la iveală un set modular de instrumente, construit în jurul câtorva principii de design recurente: menținerea criptării sarcinilor utile, păstrarea execuției în memorie ori de câte ori este posibil, reutilizarea serverului Exchange compromis și livrarea comenzilor ca ansambluri .NET separate.
Vrei să vezi mai des știrile Direct Focus în Google? Adaugă publicația la sursele tale preferate.
Adaugă la sursele preferate pe Google