Urzędnik wysyłał maila, a kopia szła do Moskwy. Rosjanie szpiegowali NATO i UE
Grupa Turla włamała się na serwery Exchange instytucji rządowych. Narzędzie Cereal miało za zadanie przechwytywać korespondencję z NATO i UE.
Urzędnik wysyła wiadomość do przedstawiciela NATO. E-mail opuszcza rządowy serwer, dociera do odbiorcy i nic nie wskazuje na problem. Tymczasem ukryty w systemie program sprawdza jego treść, rozpoznaje interesujący dokument i przygotowuje kopię dla rosyjskich szpiegów. Właśnie taki mechanizm odkryli badacze cyberbezpieczeństwa z ESET.
Za operacją ma stać grupa Turla, od lat łączona z rosyjską Federalną Służbą Bezpieczeństwa. Hakerzy przejęli serwery Microsoft Exchange w instytucjach rządowych Rumunii i Kazachstanu. Najciekawsze jest to, że do sterowania złośliwym oprogramowaniem wykorzystali infrastrukturę samych ofiar.
Hakerzy weszli do rządowej poczty. Interesowało ich NATO i UE
Analitycy ESET znaleźli na serwerze organizacji rządowej w Kazachstanie nieznane wcześniej złośliwe oprogramowanie. Nie przypominało typowego wirusa, lecz zestaw powiązanych narzędzi, z których każde odpowiadało za inne zadanie. Po dokładniejszym zbadaniu kodu i udoskonaleniu metod wykrywania eksperci natrafili na kolejną ofiarę. 23 grudnia 2025 r. ten sam zestaw narzędzi wykorzystano przeciwko instytucji rządowej w Rumunii, kraju należącym zarówno do NATO, jak i Unii Europejskiej.
Właśnie tam badacze znaleźli szczególnie interesującą konfigurację. Oprogramowanie wyszukiwało korespondencję wymienianą z adresami powiązanymi z NATO oraz instytucjami UE. Nie oznacza to, że Rosjanie przejęli serwery samego Sojuszu lub Komisji Europejskiej. Uzyskali dostęp do poczty organizacji, która komunikowała się z tymi instytucjami.
Nie ujawniono nazwy rumuńskiego urzędu ani zawartości przechwyconych wiadomości. ESET nie ustalił również całkowitej ilości wykradzionych danych. Wiadomo natomiast, jak przygotowano mechanizm umożliwiający ich zbieranie.
Program Cereal czytał pocztę. Użytkownicy niczego nie zauważali
Badacze nazwali odkryty zestaw narzędzi Cereal. Jego najważniejszym elementem był moduł CerealBox, który potrafił ukryć się bezpośrednio w procesie obsługującym przepływ wiadomości na serwerze Microsoft Exchange. Nie instalował przy tym nowej, widocznej usługi pocztowej. Podpinał własny kod do istniejących mechanizmów Exchange, dzięki czemu mógł analizować wiadomości podczas ich przetwarzania. Oryginalna korespondencja nadal trafiała do właściwego odbiorcy.
Co ciekawe, CerealBox nie kopiował każdej wiadomości. Wybierał e-maile zawierające załączniki w formatach DOC, DOCX lub PDF, a następnie sprawdzał ich nadawców, odbiorców, tematy i nazwy plików. Dopiero wiadomości spełniające ustalone kryteria były pakowane, szyfrowane i przygotowywane do odebrania przez operatorów.
Dla rosyjskiego wywiadu taki mechanizm jest znacznie bardziej użyteczny, niż przypadkowe przejmowanie skrzynek. Pozwala bowiem koncentrować się na konkretnej korespondencji, dokumentach i kontaktach, nie zakłócając codziennej pracy urzędu.
Zagrożenia związane z bezpieczeństwem Microsoft Exchange opisywaliśmy już przy okazji ostrzeżeń polskiego wojska. Tam chodziło o inną technikę uzyskiwania dostępu do poczty. Cereal wyróżnia się przede wszystkim sposobem ukrycia wewnątrz już przejętego serwera.
Nie potrzebowali własnego serwera. Wykorzystali sprzęt ofiary
W większości operacji szpiegowskich złośliwe oprogramowanie kontaktuje się z infrastrukturą kontrolowaną przez napastników. Wysyła tam dane lub pobiera nowe polecenia. Takie połączenia mogą jednak zdradzić obecność intruza.
Rosyjscy hakerzy zastosowali inne rozwiązanie. Moduł CerealNeuron pozostawał na zainfekowanym serwerze Exchange i czekał na odpowiednio przygotowane żądania internetowe. Z zewnątrz wyglądały one jak zwyczajny ruch związany z obsługą firmowej poczty.
Dzięki temu napastnicy nie musieli utrzymywać osobnego serwera sterującego. Polecenia trafiały bezpośrednio do infrastruktury ofiary, a podejrzane operacje mieszały się z prawidłowym ruchem sieciowym.
Program wykorzystywał również pamięć operacyjną komputera, ograniczając liczbę śladów pozostawianych na dysku. Dodatkowe moduły pozwalały przeglądać konta użytkowników, analizować strukturę sieci i odczytywać zapisane dane uwierzytelniające.
ESET zwraca uwagę na wyjątkowo zaawansowane wykorzystanie technologii .NET. Hakerzy manipulowali m.in. mechanizmem przechowywania skompilowanych bibliotek, aby wykonywać ukryty kod podczas uruchamiania legalnych usług Exchange. Takie rozwiązanie wymaga szczegółowej znajomości wewnętrznej architektury oprogramowania Microsoftu.
To stara grupa rosyjskiego wywiadu. FBI już z nią wcześniej walczyło
Według ESET za operacją z dużą pewnością stoi Turla, znana również jako Secret Blizzard. Grupa działa co najmniej od 2004 r. i jest powszechnie łączona z rosyjską FSB. Jej typowymi celami są instytucje państwowe, placówki dyplomatyczne oraz organizacje związane z obronnością. W sierpniu 2025 r. opisywaliśmy działalność Turli wymierzoną w zagraniczne ambasady w Moskwie. Wówczas Rosjanie mieli wykorzystywać lokalnych dostawców internetu do przejmowania komunikacji i instalowania złośliwego oprogramowania.
Grupa ma również historię konfrontacji z zachodnimi służbami. W 2023 r. FBI przeprowadziło operację Medusa, która doprowadziła do unieszkodliwienia rosyjskiego oprogramowania szpiegowskiego Snake. Narzędzie było powiązane z Turlą i służyło do przejmowania danych na całym świecie.
Tym razem przypisanie ataku rosyjskiej grupie opiera się m.in. na wykorzystaniu innych, wcześniej rozpoznanych narzędzi Turli oraz podobieństwach technicznych. Nie jest to jednak równoznaczne z publicznym ustaleniem tożsamości osób, które obsługiwały Cereal.
Według danych ESET od 2022 r. około 70 proc. państw atakowanych przez tę grupę stanowiły dawne republiki radzieckie lub kraje Europy historycznie związane z ZSRR. Rumunia i Kazachstan pasują do tego wzorca.
Rosyjski wywiad szuka informacji. Polska również jest niestety celem
Współczesny cyberszpieg nie musi wyłączać serwera ani blokować pracy urzędu. Czasami korzystniejsze jest pozostawienie systemu w normalnym działaniu i cierpliwe zbieranie dokumentów przez wiele miesięcy. Podobne zagrożenia dotyczą również Polski. W lutym opisywaliśmy rosyjskie ataki wymierzone w Microsoft Office, w których cyberprzestępcy wykorzystywali złośliwe dokumenty do instalowania narzędzi przechwytujących wiadomości. Tamta kampania była wiązana z inną rosyjską grupą, APT28.
Wicepremier Krzysztof Gawkowski ostrzegł niedawno przed możliwym gwałtownym wzrostem liczby cyberataków na Polskę. Najnowsze ustalenia ESET pokazują jeden z powodów, dla których podobne zagrożenia trudno wykrywać. Zaawansowane narzędzia nie muszą powodować widocznych awarii, a ich zadaniem może być wyłącznie długotrwała obserwacja.
Przeczytaj także:
Nie wiadomo, jak hakerzy uzyskali pierwotny dostęp do serwerów w Rumunii i Kazachstanie. Administratorzy nie powinni traktować tego przypadku jako dowodu na istnienie nowej, publicznie opisanej podatności. Dla zespołów bezpieczeństwa ważniejsze jest sprawdzanie integralności usług pocztowych, wykrywanie nietypowych zmian w procesach i kontrolowanie dostępu do serwerów.
*Źródło zdjęcia wprowadzającego: PashaIgnatov, Getty Images, Canva Pro
Redaktor Spider's Web specjalizujący się w tematyce naukowej. O nowych technologiach zaczął pisać w 2012 r. na łamach portalu Telix. Później współtworzył treści dla Komputer Świata i PCLabu. Epizod dziennikarski zaliczył także w lokalnej gazecie i w dziale blogowym SpeedTest. Współzałożyciel agencji BlueCopy, zajmującej się copywritingiem i poligrafią. Przez pewien czas właściciel firmy transportowej. Prywatnie fan starych polskich oper mydlanych (oglądanych obowiązkowo z konkubiną), dumny opiekun kotki brytyjskiej i pasjonat-amator druku 3D.