Hakeri povezani s ruskom Federalnom službom sigurnosti (FSB) ubacili su se u e-mail servere jedne vladine institucije u Rumuniji i podesili ih tako da izdvajaju poruke razmijenjene s NATO-om i Evropskom unijom, objavila je slovačka kompanija za cyber sigurnost ESET.
Prema izvještaju ESET-a, objavljenom 10. novembra, server rumunske institucije kompromitovan je 23. decembra 2025. godine. Napadači su koristili do tada nepoznat paket zlonamjernih programa, koji su istraživači nazvali Cereal.
Paket je razvijen za Microsoft Exchange, sistem putem kojeg prolazi elektronska pošta institucije. ESET nije objavio o kojoj je rumunskoj instituciji riječ.
Isti alat ESET je prvi put otkrio 28. novembra 2025. godine na serveru jedne vladine organizacije u Kazahstanu. Nakon unapređenja sistema za otkrivanje prijetnji, istraživači su mjesec kasnije pronašli i kompromitovani server u Rumuniji.
ESET s visokim stepenom sigurnosti napad pripisuje hakerskoj grupi Turla, za koju se smatra da djeluje u okviru ruske Federalne službe sigurnosti. Grupa je aktivna najmanje od 2004. godine.
Tajno izdvajali poruke povezane s NATO-om i EU
Najvažniji dio zlonamjernog paketa je modul CerealBox, koji se ubacuje direktno u Exchangeov proces za upravljanje protokom elektronske pošte.
U Rumuniji je bio podešen tako da izdvaja poruke poslane na adrese NATO-a i Evropske unije ili primljene s njih. Posebno je pratio poruke s prilozima u Word i PDF formatima, koje su odgovarale unaprijed određenim listama pošiljalaca, primalaca, naslova i naziva priloga.
Takve poruke napadači su pakovali i šifrovali, a potom ih preuzimali. Originalne poruke pritom su normalno stizale svojim primaocima, zbog čega korisnici nisu mogli primijetiti da se njihova prepiska tajno kopira.
„Negdje u nekoj vladinoj kancelariji službenik šalje e-mail kolegi u transnacionalnom vojnom savezu. Poruka odlazi kroz Microsoft Exchange server, tačno kako treba, i ništa ne izgleda sumnjivo. Ali prije nego što e-mail napusti zgradu, dio koda ga tiho pregleda, zaključi da je zanimljiv i odvoji kopiju za znatiželjne oči“, opisao je napad istraživač ESET-a Matías Porolli, koji je otkrio novi alat.
Prema ESET-u, napadači nisu koristili vanjski server za upravljanje koji bi mogao biti otkriven i blokiran. Umjesto toga, za tu svrhu koristili su kompromitovani server žrtve, dok su komande skrivali u saobraćaju koji izgleda kao uobičajena komunikacija Outlooka i Exchangea.
Istraživači navode da do sada nije zabilježeno da neki zlonamjerni program na ovaj način ubacuje svoj kod direktno u proces koji prenosi elektronsku poštu. Takav napad zahtijeva detaljno poznavanje unutrašnjeg rada Microsoft Exchangea.
Ruski obavještajni interesi i napetosti u regionu
ESET ocjenjuje da je interes za prepisku s NATO-om i Evropskom unijom u skladu s dugogodišnjim prioritetima ruskih obavještajnih službi.
Napad bi mogao biti povezan i s rastućim napetostima u regionu. Rumunija je od početka 2025. godine bilježila incidente s ruskim dronovima koji su padali u blizini njene teritorije ili na nju, dok su iz Bukurešta stizali pozivi za uspostavljanje NATO-ove misije u Crnom moru.
Kada je riječ o Kazahstanu, istraživači navode da su vlasti te zemlje od januara 2026. počele deportovati dio ruskih izbjeglica i kritičara Kremlja. Napadači su, prema procjeni ESET-a, možda željeli doći do informacija o disidentima za koje kazahstanske vlasti imaju saznanja.
Istraživači su uočili i zanimljiv detalj koji bi mogao ukazivati na identitet operatera.
Aktivnost u Kazahstanu naglo je porasla 15. januara 2026. godine, dan nakon pravoslavne Nove godine, koja se neformalno obilježava u Rusiji i nekim susjednim zemljama.
„Zlonamjerni programi ne slave praznike, ali njihovi operateri slave“, navodi ESET.
Prema podacima te kompanije, oko 70 posto zemalja koje je grupa Turla napala od 2022. godine čine bivše sovjetske republike ili evropske države koje su nekada bile bliske Sovjetskom Savezu.