Російські хакери зламали сервери румунської держустанови, щоб збирати листи про НАТО та ЄС

У грудні 2025 року хакери, пов’язані з російською ФСБ, непомітно зламали сервери румунської державної установи й збирали листи, пов’язані з НАТО та Європейським Союзом. Про це повідомила словацька компанія з кібербезпеки ESET.

Зловмисники використовували комплекс інструментів, який дослідники назвали Cereal — це каламбур, пов’язаний із технологією серіалізації. Програма сканувала листи, що проходили через сервери румунської влади, на згадки про НАТО та ЄС. Якщо знаходила такі повідомлення, створювала їхні копії для російських операторів.

Зокрема, модуль CerealBox шукав листи з адресами установ НАТО та ЄС, повідомила ESET. Він відбирав повідомлення з вкладеннями Word або PDF за заданими фільтрами, а потім стискав і шифрував копії, щоб зловмисники могли забрати їх пізніше.

Компанія зі штаб-квартирою в Братиславі виявила злам і оприлюднила інформацію про нього 10 листопада. Уперше ESET зафіксувала цей інструмент під час атаки на Казахстан у листопаді 2025 року. Через місяць дослідники виявили проникнення на сервери Microsoft Exchange у Румунії.

У дописі в блозі та пресрелізі ESET пов’язала атаку з хакерським угрупованням Turla, яке, як вважають, співпрацює з російською ФСБ — внутрішньою розвідслужбою країни. Turla також брала участь в атаках на важливі українські цілі. За даними дослідників, 70% країн, на які націлювалося угруповання, — це пострадянські або посткомуністичні держави Східної Європи та Центральної Азії. Turla — угруповання, яке здійснює розвинені тривалі кібератаки (APT), переважно на державні установи.

ESET із високим рівнем упевненості приписала цей набір інструментів Turla. Серед підстав компанія назвала одночасне використання іншого компонента, який публічно пов’язували з угрупованням, і концептуальну схожість зі старішими шкідливими програмами Turla.

Дослідники також зафіксували сплеск активності в Казахстані 15 січня 2026 року — наступного дня після Старого Нового року, неофіційного російського свята, яке відзначають також у деяких сусідніх країнах.

«Шкідливі програми свят не відзначають, але їхні оператори — так», — написала компанія.

За даними ESET, румунські сервери зламали 23 грудня 2025 року — приблизно через місяць після того, як фахівці компанії вперше виявили той самий шкідливий код на сервері казахстанської державної установи. Це було перше виявлення інструмента. Дослідники описали його як «раніше не задокументований набір інструментів: сукупність модульних шкідливих програм на .NET, призначених для роботи на серверах Microsoft Exchange, отримання команд, виконання їх у пам’яті, картографування зламаної організації та збору вибраних листів».

За оцінкою ESET, інструмент вирізнявся «поєднанням нових методів, для застосування яких потрібне глибоке знання внутрішньої будови Exchange, і незвичних способів виконання .NET-коду».

Інструмент створили так, щоб він міг тривалий час шпигувати непоміченим. Зазвичай шкідливі програми зв’язуються із зовнішнім сервером керування, що може допомогти виявити їх і встановити джерело атаки. Натомість Cereal використовував для своєї інфраструктури власні сервери Microsoft цільової організації.

Румунія є членом НАТО на східному фланзі альянсу і відчула на собі як фізичні, так і цифрові наслідки російсько-західного протистояння, особливо з початку повномасштабного російського вторгнення в Україну. Серед таких наслідків — порушення повітряного простору, збиття безпілотників і навіть ураження комерційних суден у виключній економічній зоні країни.

Румунія також зазнавала кібератак. У травні 2025 року інше відоме російське угруповання атакувало виробників озброєння, які допомагали Україні, зокрема компанії в Румунії. А через кілька місяців після початку війни державні сайти країни зазнали примітивної DDoS-атаки: сайти органів влади та фінансового сектору були недоступні кілька годин.

Нагадаємо, за загальнодоступними даними, «Космос-2612» приблизно на 26 метрів наблизився до супутника ICEYE-X36 після кількох тижнів маневрування.