Door de Russische overheid gesteunde hackers zijn binnengedrongen in e-mailservers van de Roemeense overheid. Met geavanceerde nieuwe malware onderschepten ze gevoelige communicatie met functionarissen van de NAVO en de Europese Unie.
Volgens cyberbeveiligingsonderzoekers van ESET werd de aanval uitgevoerd door Turla, een Russische cyberspionagegroep die banden heeft met de Russische veiligheidsdienst FSB.
De hackers gebruikten een voorheen onbekende malwaretoolkit genaamd Cereal. Deze is ontwikkeld om ongemerkt e-mailverkeer op Microsoft Exchange-servers te controleren, interessante berichten te identificeren en kopieën te stelen zonder de normale communicatie te verstoren.
ESET ontdekte dat op 23 december 2025 was ingebroken bij een Roemeense overheidsorganisatie. De malware was specifiek ingesteld om e-mails te herkennen die werden verstuurd naar of ontvangen van contactpersonen bij de NAVO en de EU.
Onderzoekers troffen dezelfde malwaretoolkit ook aan op een e-mailserver van de overheid in Kazachstan. Dit wijst mogelijk op een bredere spionagecampagne gericht op gevoelige overheidscommunicatie.
Malware ontwikkeld voor langdurige spionage
In tegenstelling tot traditionele malware werkt Cereal ongemerkt binnen legitieme processen van Microsoft Exchange. Hierdoor is de malware bijzonder moeilijk te detecteren.
De toolkit kan inkomende en uitgaande e-mails analyseren, berichten selecteren die interessant zijn voor de aanvallers en daar in het geheim kopieën van maken. Ondertussen verloopt de oorspronkelijke e-mailcommunicatie gewoon door.
De hackers gebruikten ook de gehackte e-mailservers zelf om hun activiteiten aan te sturen. Hierdoor waren ze minder afhankelijk van externe infrastructuur die door beveiligingssystemen kon worden opgemerkt.
ESET omschrijft de toolkit als een zorgvuldig ontwikkeld hulpmiddel voor langdurige cyberspionage. Vooral het vermogen om toegang tot systemen te behouden en daarbij zo min mogelijk sporen achter te laten, valt op.
Turla, ook bekend als Snake, is al sinds minstens 2004 actief. De hackersgroep richt zich al jarenlang op overheden, ambassades, diplomatieke missies en defensieorganisaties.
Eerder werd ook al gemeld dat Russische staatshackers wifi-netwerken van hotels gebruiken om Microsoft-inloggegevens te stelen en ongeautoriseerde toegang tot systemen te krijgen.
