Video
Prema izvještaju ESET-a, objavljenom 10. novembra, server rumunske institucije kompromitovan je 23. decembra 2025. godine. Napadači su koristili dosad nepoznati paket zlonamjernih programa, koji su istraživači nazvali Cereal.
Riječ je o paketu razvijenom za Microsoft Exchange, sistem putem kojeg se odvija elektronska pošta institucije. ESET nije objavio o kojoj je rumunskoj državnoj instituciji riječ, prenosi N1.
Isti alat istraživači ESET-a prvi put su otkrili 28. novembra 2025. godine na serveru jedne vladine organizacije u Kazahstanu. Nakon unapređenja sistema za otkrivanje prijetnji, mjesec kasnije pronašli su i kompromitovani server rumunske institucije.
ESET s visokim stepenom sigurnosti ovaj napad pripisuje hakerskoj grupi Turla, za koju se smatra da je povezana s ruskom Federalnom službom sigurnosti. Grupa je aktivna najmanje od 2004. godine.
Tajno kopirali poruke s NATO-om i EU
Najvažnija komponenta zlonamjernog paketa je modul CerealBox, koji se direktno ubacuje u proces Microsoft Exchange-a zadužen za upravljanje protokom elektronske pošte.
U slučaju Rumunije bio je podešen tako da izdvaja poruke poslane na adrese NATO-a i Evropske unije, kao i one koje su stizale s tih adresa.
Posebno je izdvajao e-mailove s prilozima u Word ili PDF formatu koji su odgovarali unaprijed definisanim listama pošiljalaca, primalaca, naslova poruka i naziva dokumenata.
Odabrane poruke zatim je pakovao i šifrovao, nakon čega su ih napadači mogli preuzeti. Originalne poruke pritom su normalno stizale do svojih primalaca, zbog čega korisnici nisu mogli primijetiti da je njihova komunikacija kompromitovana.
„Negdje u nekoj vladinoj kancelariji službenik šalje e-mail kolegi u transnacionalnom vojnom savezu. Poruka odlazi putem Microsoft Exchange servera, tačno kako treba, i ništa ne izgleda sumnjivo. Ali prije nego što e-mail napusti zgradu, dio koda ga tiho pregleda, zaključi da je zanimljiv i izdvaja kopiju za znatiželjne oči”, opisao je napad istraživač ESET-a Matías Porolli, koji je otkrio novi alat.
Napadači koristili server žrtve
Prema navodima ESET-a, napadači nisu koristili vanjski server za upravljanje zlonamjernim programom, što bi imalo mogućnost olakšati otkrivanje i blokiranje napada.
Umjesto toga, za upravljanje su koristili kompromitovani server žrtve, dok su komande skrivali u mrežnom saobraćaju koji je izgledao kao uobičajena komunikacija putem Outlooka i Exchangea.
Istraživači ističu da dosad nije zabilježeno da neki zlonamjerni program na ovaj način direktno ulazi u proces koji upravlja prenosom elektronske pošte. Takav pristup zahtijeva detaljno poznavanje unutrašnjeg funkcionisanja Microsoft Exchangea.
Zašto su na meti Rumunija i Kazahstan?
ESET ocjenjuje da je interes za komunikaciju s NATO-om i Evropskom unijom u skladu s dugogodišnjim prioritetima ruskih obavještajnih službi.
Napad bi mogao biti povezan i s rastućim sigurnosnim tenzijama u regionu. Rumunija je od početka 2025. godine bilježila incidente u kojima su ruski dronovi padali u blizini njene teritorije ili na nju, dok su iz Bukurešta stizali pozivi za uspostavljanje NATO misije u Crnom moru.
Kada je riječ o Kazahstanu, istraživači navode da su vlasti te zemlje od januara 2026. počele deportovati dio ruskih izbjeglica i kritičara Kremlja.
Prema procjenama ESET-a, napadači su možda nastojali doći do informacija o disidentima čije su aktivnosti poznate kazahstanskim vlastima.
Istraživači su uočili i zanimljiv detalj koji bi mogao ukazivati na navike operatera zlonamjernog programa.
Aktivnost u Kazahstanu naglo je porasla 15. januara 2026. godine, dan nakon pravoslavne Nove godine, praznika koji se neformalno obilježava u Rusiji i nekim susjednim zemljama.
„Zlonamjerni programi ne slave praznike, ali njihovi operateri slave”, navodi ESET.
Prema podacima ove kompanije, oko 70 posto zemalja koje je grupa Turla napala od 2022. godine čine bivše sovjetske republike ili evropske države koje su nekada bile bliske Sovjetskom Savezu.
Preporučeno
