Hackerii din gruparea rusă Turla nu au avut nevoie de un server propriu ca să spioneze e-mailurile unei instituții guvernamentale din România. Au folosit chiar serverul de e-mail al victimei, potrivit raportului publicat pe 10 noiembrie de firma slovacă de securitate ESET. Programul se ascundea în mijlocul fluxului de poștă electronică și făcea copii doar ale mesajelor care păreau interesante, în timp ce originalul își urma drumul.
ESET atribuie operațiunea, cu grad ridicat de încredere, grupării Turla, cunoscută și ca Snake, evaluată pe scară largă ca parte a Serviciului Federal de Securitate al Rusiei (FSB). Despre incident am scris deja în materialul de bază. Aici explicăm mecanismul tehnic, așa cum îl descriu cercetătorii.
Un set de programe numit „Cereal”
ESET a botezat setul „Cereal”. Este modular, scris pentru serverele Microsoft Exchange și a fost găsit la două organizații guvernamentale: una din Kazahstan, descoperită pe 28 noiembrie 2025, și una din România, compromisă pe 23 decembrie 2025. Instituția românească nu a fost numită nici de ESET, nici de autoritățile din România în sursele consultate.
Serverul victimei, folosit drept post de comandă
Elementul neobișnuit este că atacatorii nu au avut infrastructură externă de comandă. Comenzile au fost trimise direct serverului de e-mail al victimei, accesibil din internet, deghizate în trafic obișnuit de acces la poșta electronică. Un server compromis răspundea doar la cereri criptate corect și validate; orice altceva primea o pagină de eroare Exchange, aparent normală. Pe scurt, victima găzduia, fără să știe, serverul de comandă al atacatorilor.
Fiecare comandă venea ca un mic program construit pentru o singură sarcină, de exemplu colectarea unor căsuțe poștale, interogarea directorului de utilizatori sau extragerea de credențiale. ESET notează că numărul mare de programe aproape identice sugerează un cadru care le generează automat. Un al doilea element ascuns citea comenzi criptate direct de pe disc, ca variantă de rezervă, fără rețea.
