Hackere knyttet til Russlands sikkerhetstjeneste FSB skal ha kompromittert serverne til en rumensk offentlig organisasjon for å hente ut e-poster om NATO og EU, opplyser det slovakiske sikkerhetsselskapet ESET.
Kortversjonen
- Russisk-knyttede hackere kompromitterte rumenske servere i romjulen for å stjele e-poster om NATO og EU.
- Angrepet knyttes med høy sikkerhet til gruppen Turla og FSB gjennom bruk av et nyutviklet verktøysett kalt Cereal.
- Skadevaren skilte seg ut ved å utnytte offerets egne servere som infrastruktur for å skjule aktiviteten.
Angrepet mot organisasjonens Microsoft Exchange-servere skal ha skjedd 23. desember 2025, ifølge ESET. Selskapet offentliggjorde funnene 10. november, skriver Defense News.
Den ondsinnede programvaren skal ha søkt gjennom e-poster som passerte via de rumenske serverne. Dersom meldingene var knyttet til NATO eller EU, ble det laget en kopi som angriperne senere kunne hente ut, ifølge sikkerhetsselskapet.
En komponent kalt CerealBox skal særskilt ha sett etter meldinger til eller fra institusjonelle NATO- og EU-adresser. Programvaren valgte ut e-poster med Word- eller PDF-vedlegg ut fra forhåndsdefinerte filtre, før kopiene ble komprimert og kryptert.
Tilskrives Turla
ESET knytter verktøysettet, som selskapet har gitt navnet Cereal, til hackergruppen Turla med høy grad av sikkerhet. Gruppen regnes ifølge selskapet generelt for å ha tilknytning til FSB, Russlands innenlandske sikkerhetstjeneste.
Vurderingen bygger blant annet på at en annen programvarekomponent som tidligere er offentlig knyttet til Turla, ble brukt samtidig, og på likheter med eldre skadevare fra gruppen. ESET viser også til økt aktivitet i Kasakhstan 15. januar 2026, dagen etter den uformelle russiske høytidsdagen gammelt nyttår.
Les også: Kasakhstan importerer universiteter – hvor er Norge?
– Skadevare feirer ikke høytider, men det gjør operatørene, skrev selskapet.
ESET oppdaget samme skadevare på serveren til en kasakhstansk offentlig etat i november 2025, omtrent en måned før funnet i Romania. Verktøysettet var tidligere ikke dokumentert, ifølge selskapet.
Brukte offerets egne servere
Programvaren er laget for å kunne kjøre på Microsoft Exchange-servere, ta imot og utføre kommandoer i minnet, kartlegge den kompromitterte organisasjonen og samle inn utvalgte e-poster, opplyser ESET.
Forskerne beskriver kombinasjonen av teknikker som uvanlig. I stedet for å kommunisere med en ekstern kommando- og kontrollserver, skal Cereal ha brukt målorganisasjonens egne Microsoft-servere som infrastruktur. Det kan gjøre aktiviteten vanskeligere å oppdage og spore.
Turla har også vært involvert i angrep mot høyt prioriterte ukrainske mål, ifølge ESET. Selskapet opplyser at 70 prosent av landene gruppen har rettet seg mot, ligger i det postsovjetiske eller postkommunistiske området i Øst-Europa og Sentral-Asia. Gruppen retter seg først og fremst mot offentlige institusjoner.
Romania er medlem av NATO på alliansens østflanke og har, særlig etter Russlands fullskalainvasjon av Ukraina, vært utsatt for både fysiske og digitale følger av konfrontasjonen mellom Russland og Vesten. Landet har tidligere også vært rammet av cyberangrep mot blant annet våpenprodusenter og offentlige nettsteder.
Fra Spania til Ukraina: Om krigens anatomi og strategisk blindhet 🔒
