Ruski hakeri upali u servere rumunske vlade: Presretana komunikacija s NATO-om i EU

Prema izvještaju ESET-a, koji je objavljen 10. novembra, server rumunske institucije kompromitovan je 23. decembra 2025. godine. Napadači su koristili do sada nepoznat paket zlonamjernih programa koji su istraživači nazvali Cereal.

Taj paket je napravljen za Microsoft Exchange, sistem preko kojeg prolazi elektronska pošta institucije. ESET ne navodi o kojoj je rumunskoj instituciji riječ.

Isti alat ESET je prvi put otkrio 28. novembra 2025. na serveru jedne vladine organizacije u Kazahstanu. Nakon što su doradili sistem za otkrivanje, istraživači su mjesec kasnije pronašli i zaraženu instituciju u Rumuniji.

ESET napad s visokim stepenom sigurnosti pripisuje grupi Turla. Za tu grupu se smatra da je dio ruske Federalne službe sigurnosti (FSB), a aktivna je najmanje od 2004. godine.

Najvažniji dio paketa je modul CerealBox. On se ubacuje direktno u proces Exchangea koji upravlja protokom pošte. U Rumuniji je bio podešen da izdvaja poruke poslane na adrese NATO-a i EU ili primljene s njih. Izdvajao je poruke s prilozima u Word ili PDF formatu koje odgovaraju unaprijed zadanim listama pošiljalaca, primalaca, naslova i naziva priloga.

Te poruke je pakovao i šifrovao, a napadači su ih kasnije preuzimali. Original je pritom normalno stizao primaocu, pa niko nije primijetio da nešto nije u redu.

"Negdje u nekoj vladinoj kancelariji službenik šalje e-mail kolegi u transnacionalnom vojnom savezu. Poruka odlazi kroz Microsoft Exchange server, tačno kako treba, i ništa ne izgleda sumnjivo. Ali prije nego što e-mail napusti zgradu, dio koda ga tiho pregleda, zaključi da je zanimljiv i odvoji kopiju za znatiželjne oči", opisao je napad ESET-ov istraživač Matías Porolli, koji je otkrio novi alat.

Prema ESET-u, napadači nisu koristili nijedan vanjski server za upravljanje, koji bi se mogao otkriti i blokirati. Za to im je služio sam kompromitovani server žrtve, a komande su se skrivale u saobraćaju koji izgleda kao uobičajeni rad Outlooka i Exchangea.

Istraživači navode da ubacivanje u proces koji prenosi poštu do sada nije zabilježeno ni kod jednog zlonamjernog programa. Takav napad zahtijeva detaljno poznavanje unutrašnjeg rada Exchangea.

ESET ocjenjuje da je interes za prepisku s NATO-om i EU u skladu s dugogodišnjim prioritetima ruskih obavještajnih službi. Mogao bi biti povezan i s napetostima u regionu: Rumunija od početka 2025. bilježi incidente s ruskim dronovima koji su padali u blizini njene teritorije ili na nju, a iz Bukurešta su stizali pozivi za NATO misiju u Crnom moru.

Za Kazahstan istraživači navode da je vlast od januara 2026. počela deportovati dio ruskih izbjeglica i kritičara Kremlja. Napadači su, prema ESET-u, možda željeli uvid u disidente za koje kazahstanske vlasti znaju. Istraživači su primijetili i detalj koji upućuje na operatere.

Aktivnost u Kazahstanu naglo je porasla 15. januara 2026., dan nakon pravoslavne Nove godine koja se neformalno obilježava u Rusiji i nekim susjednim zemljama.

"Zlonamjerni programi ne slave praznike, ali njihovi operateri slave", navodi ESET.

Prema podacima te kompanije, oko 70 posto zemalja koje je Turla napala od 2022. čine bivše sovjetske republike ili evropske zemlje nekad bliske Sovjetskom Savezu.