Группа Turla с новым набором инструментов похищала письма властей Казахстана и Румынии
Кибершпионская группа Turla, которую западные правительства связывают с ФСБ России, использует новый модульный набор инструментов для взломов государственных структур. Вредонос обнаружила компания ESET, и одна из его версий работала на сервере правительства Казахстана.
Главное в цифрах
- Число стран, где группа атаковала жертв, по данным MITRE: более 50
- Дата обнаружения версии на сервере правительства Казахстана: 28 ноября 2025 года
ESET обнаружила набор инструментов в ноябре 2025 года и назвала его Turla's Cereal за сериализованную архитектуру. Он объединяет встроенные функции Microsoft Exchange, Windows и .NET, и это затрудняет обнаружение. Компания также отмечает, что у набора почти нет внешней инфраструктуры управления: заражённый сервер Exchange сам выполняет роль командного центра.
Версия Turla's Cereal была найдена 28 ноября 2025 года на скомпрометированном сервере Exchange правительства Казахстана. Там вредонос мог получать команды, выполняться в памяти, собирать разведданные об организации и выкрадывать отдельные письма. Другая версия обнаружена месяц спустя в румынском государственном ведомстве. Она была настроена на письма, отправляемые в ЕС и НАТО или получаемые оттуда.
Как работает вредонос
Главный бэкдор CerealNeuron не отправляет сигналы своему оператору, как это делает большинство вредоносов. Он пассивно ожидает входящих веб-запросов по путям, похожим на обычный трафик Exchange. Поэтому у защитников нет домена, IP-адреса или временных паттернов, которые можно было бы найти и заблокировать. Большая часть исполняемых модулей запускается в памяти, а команды передаются через зашифрованные нагрузки.
По данным MITRE, группа атаковала жертв более чем в 50 странах, включая правительства, военных, частные компании и исследовательские организации.
Контекст
Западные правительства и аналитики связывают Turla с Федеральной службой безопасности России. В июле ЕС ввёл санкции против российских физических и юридических лиц, сославшись на многолетнюю кибершпионскую кампанию Turla и других российских групп против европейских стран. На момент обнаружения румынской версии румынские политики призывали к миссии НАТО в Чёрном море для сдерживания того, что они называли российской агрессией.
По оценке ESET, почтовые серверы для Turla становятся долговременными точками сбора данных и внутренними узлами выполнения, и в такой среде сложные инструменты .NET легко спрятать.
