Uniunea Europeană a adăugat, luni, pe lista sancţiunilor membrii unei grupări de hackeri din Rusia, acuzată că se află în spatele unor operaţiuni de spionaj şi al unor atacuri cibernetice îndreptate împotriva unor ţinte din UE şi Ucraina încă din 2010. În centrul acestei reţele stă Turla, o unitate din interiorul Serviciului Federal de Securitate (FSB) al Rusiei, care coordona activităţile grupării. Preşedintele Nicuşor Dan a confirmat, tot luni, că şi România s-a numărat printre ţinte, avertizând că aceste atacuri fac parte dintr-o „campanie hibridă mai amplă”, menită să submineze „stabilitatea democraţiilor noastre”.
Dar cine este, mai exact, Turla – şi de ce a ajuns tocmai acum în atenţia Bruxelles-ului?
O grupare veche de peste două decenii
Turla nu este un nume nou în lumea securităţii cibernetice. Dimpotrivă, este una dintre cele mai vechi şi mai rezistente grupări de spionaj cibernetic legate de statul rus, activă încă de la începutul anilor 2000, scrie Brandefense.
Turla, cunoscut și sub numele de Șarpe, Uroburos sau Ursul Veninos, este un grup de spionaj cibernetic extrem de sofisticat, despre care se crede că operează în interesul guvernului rus, activ din cel puțin 2008 împotriva guvernelor, apărării, telecomunicațiilor și ambasadelor. Unitatea a vizat entități guvernamentale și companii private din numeroase țări și sectoare, precum apărare, telecomunicații, învățământ superior și ambasade.
Ceea ce o face specială nu este spectaculozitatea, ci discreţia. Turla este cunoscută pentru capacitatea de a se strecura în reţele sensibile şi de a rămâne acolo nedetectată ani la rând, colectând informaţii în tăcere.
Nu are o motivaţie financiară – scopul ei nu este să fure bani, ci să menţină acces nelimitat la ţinte de mare valoare şi să adune informaţii utile obiectivelor geopolitice, militare şi diplomatice ale Rusiei.
Cum funcţionează, pe înţelesul tuturor
Instrumentul emblematic al grupării este un program numit Snake (Uroburos) – un aşa-numit rootkit, adică un tip de software malefic conceput special ca să se ascundă adânc în sistemul infectat şi să treacă neobservat. Odată intrată într-o reţea, gruparea foloseşte acest tip de programe ca să-şi păstreze accesul pe termen lung, ca un musafir nepoftit care se instalează în casă fără ca gazda să-şi dea seama.
Pentru a pătrunde iniţial, Turla foloseşte metode devenite deja clasice în spionajul cibernetic: e-mailuri de tip spear-phishing (mesaje personalizate, care par legitime, dar conţin linkuri sau ataşamente infectate), atacuri asupra unor site-uri frecventate de ţintele vizate, dar şi exploatarea vulnerabilităţilor din aplicaţiile VPN şi din serverele expuse la internet.
Un detaliu care arată nivelul de rafinament al grupării: pentru a-şi ascunde urmele, Turla a folosit de-a lungul timpului inclusiv canale de comunicare bazate pe sateliţi şi lanţuri de servere intermediare, tocmai ca cei care o urmăresc să nu poată stabili cu uşurinţă de unde vin, de fapt, comenzile.
Operațiuni recente
Ţintele nu sunt alese la întâmplare. Turla vizează, în mod constant, sectoarele cu miză geopolitică ridicată: ministere şi agenţii guvernamentale, armata şi companiile din industria de apărare, ambasade şi misiuni diplomatice, furnizori de infrastructură critică, precum şi centre de cercetare şi tehnologie.
Geografic, atenţia principală se îndreaptă către Europa şi statele NATO, dar operaţiunile se întind şi spre Orientul Mijlociu, Asia Centrală şi America de Nord.
- 2008–2014: Implementarea rootkit-ului Snake / Uroburos împotriva guvernelor europene, inclusiv tehnici C2 bazate pe comunicații prin satelit.
- 2015–2017: Turla și Carbon au fost folosite în campanii de spionaj împotriva misiunilor diplomatice europene și din Orientul Mijlociu.
- 2018–2020: Atacuri în guvernele din Orientul Mijlociu și Asia Centrală și utilizarea backdoor-ului Kazuar asociat cu compromiterea lanțului de aprovizionare SolarWinds.
- 2021–2023: Vizarea sporită a țintelor NATO și de apărare europeană, utilizând backdoor-uri avansate și valorificând C2 multi-hop.
- 2024–2025: Activitatea reînnoită a atacurilor Snake, care vizează ministerele europene și sunt asociate cu NATO, exploatând vulnerabilitățile VPN și fiind concepută în jurul unei infrastructuri proxy.
Activitatea recentă indică faptul că Turla continuă să își îmbunătățească operațiunile:
- Malware Snake actualizat: Analiștii au raportat noi variante ale malware-ului Snake care îmbunătățesc ascunderea și modularitatea.
- Exploatarea VPN: Turla continuă să exploateze dispozitivele VPN ca punct de intrare în rețelele guvernamentale și de apărare.
Ce a decis UE
Sancţiunile anunţate luni se înscriu în regimul de sancţiuni cibernetice al Uniunii, folosit pentru prima dată în 2020. Cel mai înalt diplomat al UE a explicat, într-un comunicat, că „Turla, o unitate din cadrul Serviciului Federal de Securitate (FSB) al Rusiei era responsabilă de dirijarea activităţilor grupării de hakeri susţinută de stat, care a vizat guverne, infrastructură critică şi industrii strategice din întreaga Europă”.
Potrivit Bruxelles-ului, FSB a desfăşurat, începând din 2010, o gamă largă de activităţi cibernetice ostile – de la infiltrarea în reţele guvernamentale până la sabotarea infrastructurii critice – care au devenit tot mai grave şi au afectat atât state membre UE, cât şi parteneri internaţionali, inclusiv Ucraina. Printre ţări s-au numărat Franţa, Germania, Polonia, Cipru, Olanda, Austria, Slovacia, România şi Finlanda.
Ca răspuns, UE a impus sancţiuni împotriva a nouă persoane şi patru entităţi, printre care şi companii tehnologice ruseşti care sprijină serviciile de informaţii, precum Advanced System Technology (AST) şi NPP Gamma, cărora li se interzice acum să facă afaceri în UE. Sancţiunile includ interdicţii de călătorie şi îngheţarea activelor.
În paralel, Regatul Unit a anunţat propriile măsuri împotriva a 24 de persoane şi entităţi legate de serviciile de informaţii ruse.
Câteva exemple concrete arată cât de departe a mers gruparea. Potrivit guvernului francez, Turla a compromis în 2017 sistemele de e-mail neclasificate ale Ministerului francez al Apărării, a spart în anul următor ambasada Franţei la Moscova şi a furat, în 2025, secrete industriale de la o companie de înaltă tehnologie. Oficialii francezi acuză gruparea şi că a deturnat infrastructura unor terţi – inclusiv capabilităţi cibernetice legate de Iran – tocmai ca să ascundă originea reală a operaţiunilor sale.
Reacţia României
Preşedintele Nicuşor Dan a confirmat că ţara noastră a fost, la rândul ei, o ţintă.
„România condamnă ferm activităţile cibernetice ostile desfăşurate de grupări controlate de Serviciul Federal de Securitate al Federaţiei Ruse, care au vizat state membre ale Uniunii Europene, aliaţi NATO şi partenerii acestora, inclusiv ţara noastră”, a scris el pe Facebook.
Şeful statului a insistat că aceste atacuri nu sunt izolate, ci se înscriu într-o strategie mai amplă: „Ele fac parte dintr-o campanie hibridă mai amplă, menită să submineze stabilitatea democraţiilor noastre, să alimenteze diviziunile în societate şi între aliaţi şi să testeze coeziunea Uniunii Europene şi a NATO”.
La rândul său, Ministerul Afacerilor Externe a precizat că România a fost vizată chiar de gruparea APT Turla şi că aceste acţiuni „se încadrează într-un tipar deja cunoscut la nivel european şi euro-atlantic”.
MAE a explicat că Rusia se bazează pe un „ecosistem cibernetic complex”, care combină instituţii de stat, precum serviciile de informaţii, cu actori nestatali – grupări infracţionale, hacktivişti şi companii private – folosiţi pentru operaţiuni ale căror scopuri merg de la furtul de date sensibile până la perturbarea infrastructurii critice.
