Ruski hakeri upali u servere države članice NATO-a: Na meti bila prepiska s Alijansom i Evropskom unijom

Prema istraživanju slovačke kompanije za cyber sigurnost ESET, objavljenom 10. novembra, iza operacije stoji hakerska grupa Turla, poznata po dugogodišnjoj povezanosti s ruskom obavještajnom službom FSB.

Istraživači su utvrdili da je 23. decembra 2025. kompromitovan server jedne rumunske državne organizacije. Naziv institucije nije objavljen.

Na serveru je pronađen ranije nedokumentovan zlonamjerni softver namijenjen prepoznavanju i prikupljanju elektronskih poruka povezanih s institucijama NATO-a i Evropske unije.

Otkriće je 11. novembra potvrdila i rumunska obavještajna služba SRI.

Posebno su tražili prepisku s NATO-om i EU

Napadači su koristili novi skup zlonamjernih programa nazvan Cereal, razvijen za rad na Microsoft Exchange serverima, sistemima koje državne institucije i kompanije koriste za elektronsku poštu.

Jedna od komponenti, nazvana CerealBox, bila je podešena da prepoznaje poruke poslane na službene adrese NATO-a i Evropske unije ili primljene s tih adresa.

Posebnu pažnju privlačile su poruke s dokumentima u prilogu, uključujući Word i PDF datoteke.

Program je mogao pregledati elektronsku poštu, izdvojiti poruke koje odgovaraju unaprijed određenim kriterijima te ih kompresovati i šifrirati za kasnije preuzimanje.

Istraživač ESET-a Matías Porolli objasnio je da je takav sistem mogao djelovati neprimjetno, dok bi originalna elektronska poruka nastavila put prema primaocu.

„Negdje u državnoj instituciji službenik šalje e-mail kolegi u međunarodnom vojnom savezu. Poruka prolazi kroz Microsoft Exchange server, upravo onako kako bi trebala, i ništa ne izgleda sumnjivo“, naveo je Porolli, opisujući način rada programa.

Međutim, prije nego što poruka napusti instituciju, zlonamjerni program može pregledati njen sadržaj, procijeniti je li zanimljiva napadačima i sačuvati kopiju.

Važno je naglasiti da ESET nije objavio dokaze o tome koliko je poruka, ako ih je uopće bilo, zaista preuzeto iz rumunske institucije.

Koristili infrastrukturu same institucije

Ono što ovu operaciju izdvaja od brojnih drugih cybernapada jeste način na koji su hakeri pokušavali prikriti svoje aktivnosti.

Umjesto oslanjanja na vanjske servere za upravljanje zlonamjernim programom, grupa Turla koristila je infrastrukturu same napadnute institucije.

Drugim riječima, kompromitovani Microsoft Exchange server služio je i za redovnu komunikaciju državnih službenika i kao dio sistema kojim su upravljali napadači.

Takav pristup omogućavao je da aktivnosti ostanu neprimijećene duže vrijeme.

Prema ESET-u, program je bio osmišljen tako da ostavlja vrlo malo tragova na diskovima, dok su se pojedine njegove komponente izvršavale direktno u memoriji računara.

Istraživači ističu da je riječ o tehnički složenom sistemu koji pokazuje detaljno poznavanje Microsoftove infrastrukture za elektronsku poštu.

ESET nije uspio utvrditi kako su napadači prvobitno pristupili serverima.

Rumunska služba: Napad je zaustavljen

Rumunska obavještajna služba SRI potvrdila je da je njen Nacionalni centar Cyberint još u decembru 2025. otkrio napad i preduzeo mjere za njegovo zaustavljanje.

Prema zvaničnom saopćenju, napadači su iskoristili niz sistemskih ranjivosti u Microsoftovim operativnim sistemima.

„Nisu utvrđeni slučajevi iznošenja osjetljivih podataka, a pogođena usluga elektronske pošte je sanirana“, saopćio je SRI.

Rumunska služba navela je da je o incidentu obavijestila nadležne institucije i sarađivala s evropskim obavještajnim partnerima, uključujući strukture Evropske unije i NATO-a.

Istovremeno je saopćeno da su u toku dodatne istrage drugih cyberoperacija koje se povezuju s Ruskom Federacijom.

Nalazi ESET-a potvrđuju kompromitovanje rumunskog servera i postojanje softvera namijenjenog selektivnom prikupljanju elektronskih poruka. Međutim, ne dokazuju da su podaci zaista završili u rukama napadača.

Također, nema dokaza da su kompromitovani informatički sistemi samog NATO-a ili Evropske unije. Meta je bila rumunska institucija koja je s njima komunicirala.

Ista grupa napala i Kazahstan

Rumunija nije bila jedina meta.

ESET je isti zlonamjerni softver prvi put otkrio u novembru 2025. na serveru jedne državne institucije u Kazahstanu.

Mjesec kasnije identičan sistem pronađen je u Rumuniji.

Kompanija s visokim stepenom pouzdanosti pripisuje operaciju grupi Turla, poznatoj i pod nazivima Snake i Secret Blizzard.

Riječ je o grupi koja djeluje najmanje od 2004. godine i koju zapadne sigurnosne institucije i istraživači cyberprijetnji povezuju s ruskim FSB-om.

Prema podacima ESET-a, približno 70 posto država koje je Turla napadala od 2022. godine pripada bivšem sovjetskom prostoru ili evropskim zemljama koje su nekada bile blisko povezane sa Sovjetskim Savezom.

Rumunija je posebno osjetljiva meta zbog svog položaja na istočnom krilu NATO-a, blizine Ukrajine i strateške važnosti crnomorske regije.

Od početka ruske invazije na Ukrajinu rumunske vlasti više puta su prijavljivale incidente povezane s ruskim dronovima, dok su vojna i sigurnosna pitanja u regiji postala važan dio komunikacije s NATO-om i Evropskom unijom.

Najnovije otkriće pokazuje da se, uz fizičke sigurnosne izazove, države istočnog krila Alijanse suočavaju i s pokušajima elektronske špijunaže usmjerenim na njihove državne institucije.