România a fost, la finalul anului 2025, ținta unui atac cibernetic, care a fost atribuit unei grupări aliniată cu Moscova. Cercetătorii de la ESET au descoperit un nou set de instrumente, pe care l-au numit „Cereal”, care include un modul inovator de colectare a e-mailurilor Exchange, un mecanism unic de comandă și control (C&C) și trucuri sofisticate de execuție .NET. Astfel, ESET a identificat două victime: o organizație guvernamentală din Kazahstan și o organizație guvernamentală din România, unde „Cereal” a fost configurat să identifice și să colecteze e-mailurile trimise către sau primite de la NATO și UE. ESET Research atribuie „Cereal”, cu un nivel ridicat de încredere, grupului APT Turla, aliniat cu Rusia, scrie, marți, Yahoo! Finance.
Conceput să ruleze pe servere Microsoft Exchange, acesta primește comenzi, le execută în memorie, mapează organizația compromisă și colectează e-mailurile selectate.
„Cereal” este un instrument construit cu grijă pentru spionaj cibernetic ascuns, pe termen lung. Acesta lasă puține date pe disc, evită infrastructura externă care ar putea fi descoperită și blocată și se ascunde în cadrul proceselor Exchange legitime.
ESET a identificat două organizații guvernamentale naționale compromise de „Cereal” la sfârșitul anului 2025, situate în zone geografice apropiate de ținta cunoscută a Turla. Pe baza datelor de telemetrie ESET, aproximativ 70% dintre țările vizate de Turla din 2022 au făcut parte din fosta Uniune Sovietică, sau sunt țări europene care au fost cândva strâns aliniate cu URSS-ul.
Gruparea Turla, cunoscută și sub numele de Snake, este activă cel puțin din 2004 și este evaluată pe scară largă ca făcând parte din Serviciul Federal de Securitate (FSB) al Rusiei.
Cazul românesc este notabil deoarece o componentă, CerealBox, a fost configurată să colecteze mesaje care implică adrese instituționale NATO și UE. Această concentrare se potrivește priorităților de lungă durată ale serviciilor de informații rusești. De asemenea, se poate referi la tensiunile regionale: de la începutul anului 2025, România a raportat mai multe drone rusești care fie au pătruns ilegal în țară și au ieșit, ultieror, fie s-au prăbușit, provocând reacții puternice din partea autorităților române și apeluri la o misiune NATO în regiunea Mării Negre.
În Kazahstan, atacul a avut loc, de asemenea, într-un context politic relevant. Din ianuarie 2026, Kazahstanul ar fi început să deporteze unii exilați ruși și critici ai regimului care găsiseră anterior o siguranță relativă după invazia la scară largă a Ucrainei de către Rusia.
„Pe un server Exchange compromis, cea mai interesantă activitate nu este întotdeauna mesajul care ajunge în căsuța poștală a unui utilizator. Undeva într-un birou guvernamental național, un oficial trimite un e-mail unui coleg de la o alianță militară transnațională. Mesajul trece printr-un server Microsoft Exchange, exact așa cum ar trebui, și nimic nu pare suspect. Dar înainte ca e-mailul să părăsească clădirea, o bucată de cod îl examinează în liniște, decide că este interesant și pune deoparte o copie pentru a fi transmisă ochilor curioși, în timp ce e-mailul original își continuă drumul”, explică Matías Porolli, cercetător ESET.
„Deoarece instrumentele se bazează în mare măsură pe serializare, o tehnică de împachetare a datelor și a codului pentru transport, le-am dat nume care încep cu prefixul «Cereal». Ceea ce face ca acest set de instrumente să iasă în evidență este combinația de tehnici noi care necesită cunoștințe aprofundate despre componentele interne ale Exchange, combinate cu metode neobișnuite de execuție .NET”, a adăugat Porolli.
Reconstrucția atacul a scos la iveală un set modular de instrumente, construit în jurul câtorva principii de design recurente: menținerea criptării sarcinilor utile, păstrarea execuției în memorie ori de câte ori este posibil, reutilizarea serverului Exchange compromis și livrarea comenzilor ca ansambluri .NET separate.
Unul dintre cele mai interesante aspecte ale acestui set de instrumente este ceea ce ESET nu a găsit: infrastructură C&C externă. În schimb, serverul Exchange compromis al victimei este cooptat să acționeze ca infrastructură C&C.
Utilizarea diverselor trucuri .NET, cum ar fi punctele de intrare negestionate, și abuzul memoriei cache native a imaginilor .NET fac ca acest set de instrumente să fie destul de sofisticat în comparație cu majoritatea cazurilor APT recente pe care ESET le-a cercetat.
Compania ESET protejează organizațiile, infrastructura critică și persoanele fizice, ajutându-le să-și construiască reziliența digitală și încrederea într-o lume din ce în ce mai mult bazată pe inteligență artificială. Cu peste 35 de ani de expertiză în securitate cibernetică, peste 25 de ani de inovare în domeniul inteligenței artificiale și 11 centre globale de cercetare și dezvoltare, ESET dezvoltă tehnologii proprietare concepute pentru a proteja împotriva amenințărilor cibernetice în continuă evoluție și pentru a securiza ecosistemul mai larg al inteligenței artificiale.
Bazată pe rigoare științifică și adoptând o abordare preventivă a securității, ESET oferă protecție fără efort, care rămâne sub supraveghere umană expertă. Cu sediul central în Uniunea Europeană și fiind o companie privată, ESET protejează milioane de utilizatori și peste 500.000 de organizații din 178 de țări. Angajat față de inteligența artificială responsabilă și încrederea clienților, ESET protejează progresul pe care îl permite tehnologia.
