Руски хакери четоха пощата на Румъния с НАТО и ЕС през собствения ѝ сървър

Руски хакери от групата Turla, свързвана с ФСБ, са чели имейлите, които румънска правителствена институция разменя с НАТО и ЕС, като са превърнали нейния собствен пощенски сървър Microsoft Exchange в команден център. Атаката разкри словашката компания ESET на 10 ноември, а на следващия ден Румънската служба за информация (СРИ) я потвърди – и това е поредното доказателство, че кибершпионажът срещу страните от източния фланг на НАТО не е теория.

Как Cereal се крие в пощенския сървър

В доклада на ESET изследователят Матиас Пороли описва Cereal като модулен набор от .NET програми, създаден за дългосрочен и незабележим шпионаж. Повечето компоненти са криптирани и се изпълняват само в паметта, за да оставят минимални следи по диска.

Ключовият модул е CerealBox. Той се вмъква в процеса EdgeTransport.exe, през който минава цялата поща на Exchange, и копира само интересните писма. Тъй като не се регистрира като транспортен агент, администраторът не вижда нищо ново в конфигурацията на сървъра.

Най-необичайното е, че атакуващите не са ползвали външна инфраструктура. CerealNeuron слуша на адреси, които изглеждат като стандартните пътища на Exchange – Outlook в браузъра, Autodiscover и ActiveSync, а на невалидните заявки връща истинска на вид страница за грешка. „Собственият, видим от интернет Exchange сървър на жертвата е точката, от която операторите управляват всичко“, пише ESET.

От Казахстан до Букурещ – хронология

• 28 ноември 2025 г. – ESET открива Cereal на сървър на държавна организация в Казахстан.
• Най-късно на 23 декември 2025 г. – компрометирана е румънската институция.
• Декември 2025 г. – според СРИ Националният център Cyberint засича атаката и я спира.
• 15 януари 2026 г. – рязко засилване на активността в Казахстан, ден след празника Стара Нова година.
• 10 ноември 2026 г. – ESET публикува анализа и приписва кампанията на Turla с висока степен на увереност.
• 11 ноември 2026 г. – СРИ и румънското външно министерство потвърждават инцидента.

Какво казва Букурещ и какво остава неясно

СРИ не назовава засегнатата институция. По данни на Spotmedia службата заявява: „Не е установено изтичане на чувствителни данни, а засегнатата пощенска услуга е възстановена.“ Според СРИ партньорите в ЕС и НАТО са информирани, а разследванията на други кампании, свързани с Русия, продължават. Външното министерство определя атаката като част от хибридната кампания на Русия срещу държавите от ЕС и НАТО.

Изводите на ESET са по-предпазливи. Изследователите не са успели да установят как нападателите са проникнали първоначално, нито колко информация са изнесли, пише The Record. Turla, позната и като Snake, Secret Blizzard и Venomous Bear, действа поне от 2004 г., а около 70% от държавите, срещу които е работила от 2022 г. насам, са бивши съветски републики или европейски страни с исторически връзки със СССР.

Защо случаят засяга и българските институции

България е в същия профил като Румъния – бивша държава от Източния блок, член на НАТО и ЕС. А Microsoft Exchange е сред най-използваните пощенски сървъри в държавните и частните организации в Европа. ESET не съобщава за жертви у нас, но схемата е изградена така, че да работи на всеки незащитен Exchange сървър с публичен достъп.

За администраторите практичното е, че ESET е публикувала индикаторите за компрометиране в хранилището си malware-ioc в GitHub (папка turla). Сред следите, описани в доклада, са подозрителни библиотеки в папката C:\Windows\System32\wbem\ и фалшиви файлове в кеша на .NET, кръстени като компоненти на Exchange. За обикновените потребители случаят е напомняне, че атаките срещу пощата не винаги минават през фишинг – понякога пробивът е при доставчика.

Само преди два дни писахме и как Франция обвини Иран за хакнатите хладилници в 700 магазина – държавните хакери все по-често удрят европейска инфраструктура. Какви изисквания въвежда ЕС за сигурността на свързаните продукти, обяснихме в материала за Cyber Resilience Act. Още новини – в рубриката Новини.