Rus devlet bağlantılı hackerlar, Romanya ve Kazakistan’daki hükümet e-posta sunucularını, gizli gözetim için tasarlanmış daha önce belgelenmemiş bir zararlı yazılım araç setiyle ele geçirdi. Bu operasyon, saldırganların, NATO ve Avrupa Birliği kurumlarıyla paylaşılan mesajlar da dahil olmak üzere seçilmiş iletişimleri, normal e-posta teslimatını kesmeden ele geçirmesine olanak tanıdı.
Siber güvenlik şirketi ESET disclosed the findings , 10 Kasım 2026’da faaliyeti Rusya Federal Güvenlik Servisi (FSB) ile ilişkili uzun süredir devam eden bir siber casusluk grubu Turla’ya yüksek güvenle atfeder. Araştırmacılar, yeni keşfedilen araç setine Cereal adını verdi.
Bilinen ilk enfeksiyon 28 Kasım 2025’te Kazakistan’da bir devlet kuruluşunda tespit edildi. Daha fazla soruşturma sırasında aynı zararlı yazılımı bir Romanya devlet kurumunda ortaya çıkardı ve araştırmacılar bu sızmayı 23 Aralık 2025’e kadar takip etti.
Romanya’da saldırganlar, araçlarını NATO ve AB adreslerini, nato.int ve europa.eu dahil olmak üzere e-postaları tespit edecek şekilde yapılandırdılar. Hedeflenen bu koleksiyon, operasyonun büyük miktarda alakasız bilgi çalmak yerine hükümet ve diplomatik istihbarat elde etmeye odaklandığını gösteriyor.
Cereal doğrudan tehlikeye girmiş Microsoft Exchange sunucularında çalışır. Bileşenlerinden biri olan CerealBox, gelen ve giden e-postaları işlemekten sorumlu yazılımla entegre olur ve saldırganların mesajları varış noktalarına ulaşmadan önce incelemesini sağlar.
Kötü amaçlı yazılım, gönderici ve alıcı adresleri, e-posta konuları ve ek isimleri dahil olmak üzere önceden tanımlanmış kriterlere göre iletişimleri seçer. Ayrıca Word belgeleri ve PDF ekleri içeren mesajları da tespit edebilir. Eşleşen e-postalar daha sonra alınmak üzere kopyalanır, sıkıştırılır ve şifrelenir.
Önemli olarak, orijinal mesajlar normal teslimat sürecinde devam eder. Bu, saldırganların, çalışanları veya sistem yöneticilerini uyarabilecek belirgin kesintiler yaratmadan bilgi toplamasını sağlar.
Bir diğer bileşen olan CerealNeuron, tehlikeye giren sunuculara uzaktan erişim sağlar. Geleneksel harici komut sunucusuyla iletişim kurmak yerine, doğrudan mağdurun Exchange altyapısına gönderilen özel oluşturulmuş istekleri bekler.
Bu istekler, yasal Microsoft Exchange web servislerine benzer ve kötü amaçlı faaliyetleri sıradan ağ trafiğinden ayırt etmeyi zorlaştırır. Ek bileşenler, saldırganların programları bellekte çalıştırmasına, dahili sistemleri incelemesine ve tehlikedeki ortam hakkında bilgi toplamasına olanak tanır.
ESET, araç setinin diskte nispeten az sayıda tanınabilir dosya bırakacak şekilde tasarlandığını belirtti. Şifreli bileşenler ve meşru sunucu süreçleri kullanımı, adli analizleri ve geleneksel kötü amaçlı yazılım tespitini karmaşıklaştırıyor.
Turla, yirmi yılı aşkın süredir siber casusluk operasyonları yürütüyor; sık sık devlet kurumlarını, diplomatik kuruluşları ve siyasi açıdan hassas bilgileri tutan diğer kurumları hedef alıyor. Grubun önceki kampanyaları, birçok kötü amaçlı yazılım ailesini ve tehlikeye girmiş ağlara uzun vadeli erişimi sürdürmek için teknikleri içeriyordu.
Araştırmacılar, saldırganların ilk olarak her iki devlet kuruluşuna nasıl girdiğini belirlemedi. Etkilenen Exchange sunucuları internetten erişilebilse de, belirli bir yazılım zafiyetinin istismar edildiğine dair kesin bir kanıt yok.
Kampanya sırasında elde edilen bilgi miktarı da bilinmemektedir. ESET iki tehlikeye girmiş kuruluşu tespit etti ancak aynı araç setinden ek kurbanların etkilenip etkilenmediğini tespit etmedi.