Rosyjska grupa cyberszpiegowska Turla przechwytywała korespondencję instytucji rządowych w Rumunii i Kazachstanie. W jednym z przypadków interesowały ją wiadomości wymieniane z adresami NATO i Unii Europejskiej. Analitycy ESET odkryli zestaw narzędzi, który pozwalał kopiować wybrane e-maile bez zakłócania pracy systemu pocztowego.
Związana z rosyjską Federalną Służbą Bezpieczeństwa (FSB) grupa Turla, znana również jako Snake, jest aktywna co najmniej od 2004 roku. Jej dotychczasowe działania koncentrowały się przede wszystkim na celach istotnych z punktu widzenia polityki i wywiadu. Według danych telemetrycznych ESET, około 70% państw atakowanych przez Turlę od 2022 roku to byłe republiki ZSRR lub europejskie kraje historycznie blisko związane ze Związkiem Radzieckim.
Jak Turla przechwytywała rządową korespondencję
ESET zidentyfikował dwa przypadki wykorzystania nowego zestawu narzędzi szpiegowskich przeciwko instytucjom rządowym. Do ataków w Rumunii i Kazachstanie doszło pod koniec 2025 roku. Szczególnie interesujący jest przypadek rumuńskiej instytucji. Złośliwe oprogramowanie skonfigurowano tak, aby gromadziło wiadomości wysyłane na adresy instytucjonalne NATO i Unii Europejskiej oraz otrzymywane z tych adresów. Zdaniem analityków, taki dobór korespondencji odpowiada wieloletnim priorytetom rosyjskiego wywiadu. Działania te wpisują się w napiętą sytuację w regionie Morza Czarnego. Od początku 2025 roku Rumunia informowała o kilku przypadkach upadku rosyjskich dronów w pobliżu swojego terytorium lub na jego obszarze. Incydenty te wywoływały reakcje władz i apele o ustanowienie misji NATO w regionie.
Drugim celem była instytucja rządowa w Kazachstanie. Złośliwe oprogramowanie działało bezpośrednio na przejętych serwerach Microsoft Exchange, obsługujących pocztę elektroniczną zaatakowanych organizacji. Dzięki temu mogło analizować wiadomości jeszcze przed ich wysłaniem. Jeśli treść lub adresaci odpowiadali kryteriom ustalonym przez atakujących, system zapisywał kopię e-maila. Oryginalna wiadomość trafiała do odbiorcy bez zakłóceń. Mechanizm pozwalał prowadzić szpiegostwo bez wzbudzania podejrzeń użytkowników. Pracownicy mogli normalnie korzystać z poczty, nie wiedząc, że część ich korespondencji jest kopiowana.
Cereal wykorzystuje mechanizmy Microsoft Exchange
Odkryty zestaw narzędzi otrzymał nazwę Cereal. Przygotowano go z myślą o długotrwałym szpiegostwie na przejętych serwerach Microsoft Exchange. Składa się z kilku modułów, które pozwalają wykonywać polecenia, rozpoznawać strukturę zaatakowanej sieci i gromadzić wybrane wiadomości. Jednym z najważniejszych elementów jest CerealBox, odpowiedzialny za automatyczne kopiowanie korespondencji. Moduł został wstrzyknięty do legalnych procesów Microsoft Exchange, dzięki czemu uzyskał dostęp do mechanizmów przetwarzania i przesyłania e-maili.
Narzędzia wykorzystują również techniki związane ze środowiskiem .NET, szyfrowanie i uruchamianie kodu bezpośrednio w pamięci operacyjnej. Ogranicza to liczbę plików pozostawianych na dysku i utrudnia wykrycie infekcji.
Nietypowy jest także sposób komunikacji z zainfekowanymi systemami. Podczas analizy ESET nie wykrył zewnętrznej infrastruktury sieciowej wykorzystywanej do sterowania złośliwym oprogramowaniem. Atakujący używali w tym celu samego przejętego serwera Exchange. Jeden z modułów Cereal działał jako pasywny backdoor, zapewniając dostęp do wewnętrznej sieci organizacji. Dzięki temu Turla mogła ograniczyć korzystanie z zewnętrznych serwerów, które specjaliści ds. bezpieczeństwa mogliby zidentyfikować i zablokować.
Analitycy zwracają też uwagę na sposób wykonywania kodu. Poszczególne polecenia trafiały na serwer jako oddzielne moduły .NET, a wiele operacji odbywało się w pamięci. W połączeniu z wykorzystaniem wewnętrznych mechanizmów Exchange pozwalało to ograniczać ślady działalności grupy.
„Tym, co wyróżnia ten zestaw narzędzi, jest połączenie nowych technik wymagających dogłębnej znajomości wewnętrznych mechanizmów Exchange z nietypowymi metodami wykonywania kodu .NET” – wskazuje Matías Porolli z ESET Research.
Szczegółową analizę Cereal i działalności grupy, eksperci ESET Research opublikowali w raporcie „Exchange for breakfast: Turla’s Cereal tricks are not for kids” w serwisie WeLiveSecurity.
