Хакеры месяцами читали электронные письма госчиновников и их переписку с НАТО и Евросоюзом

Государственные служащие Казахстана и Румынии в течение нескольких месяцев, сами того не подозревая, были на крючке киберпреступников. Они читали всю их электронную почту, оставаясь в тени. За многие недели своей деятельности они получили доступ, в том числе, к переписке с чиновниками из стран НАТО и Евросоюза.

Выявить шпиона удалось бежавшей из России в начале 2022 г. компании ESET. Она почти полностью уверена, что за взломом стоят хакеры из группы Turla, однако достоверных доказательств этому у нее пока нет. В компании уверены, что Turla – российская группировка.

Хакеры так искусно внедрились в переписку чиновников, что внешне не было ни единого проявления наличия подсаженного в ИТ-систему перехватчика. Письма уходили и приходили без задержек, никаких ошибок при их отправке и получении не возникало, словом, внешне все работало так, будто никаких посторонних сервисов в системе нет.

Хакеры читали переписку месяцами

Количество скопированных писем подлежит уточнению.

Виртуальный ксерокс

Внутри ИТ-систем госведомств Казахстана и Румынии скрывался шпионский инструментарий Cereal, главный компонент которого, CerealBox, был интегрирован в процесс EdgeTransport.exe. Эта утилита занимается обработкой потока электронных писем на почтовом сервере Microsoft Exchange.

Первые следы заражения Cereal в Казахстане датированы последними числами ноября 2025 г., то есть шпион был в сети примерно год. В Румынии заражение произошло спустя месяц, в конце декабря 2025 г.

Шпион копировал письма и пересылал их сторонним адресатам, не оставляя при этом никаких следов. Копии писем оперативной удалялись. А чтобы не превратить свои серверы в скопище малоинформативной переписки, хакеры настроили фильтр исключительно на письма с вложениями. В частности, их интересовали письма с прикрепленными к ним документами PDF и DOCX

Отдельно были прописаны фильтры на адреса отправителей и получателей, а также на темы письма и названия файлов. Для ускорения процесс получения копий писем хакеры прикрутили к шпиону модуль их архивации.

Главное – не «светиться»

В набор инструментов Cereal, по данным ESET, также входит бэкдор CerealNeuron, при помощи которого хакеры управляли процессом отправки им копий писем. Настроен он был так, что не обращался к сторонним серверам самостоятельно – вместо этого он ждал внешних зашифрованных команд на сервере Exchange, что понижало шансы на его обнаружение. При этом адреса запросов очень сильно походили на штатные службы Outlook Web Access, Autodiscover и ActiveSync, дополнительно усыпляя бдительность пользователей и службы безопасности. Команды, в том числе на проверку почтовых ящиков, запускались в оперативной памяти.

Русский след

ESET утверждает, что группа хакеров Turla напрямую связана с Россией. По данным компании, ее второе названием – Snake, и действует она действует как минимум с 2004 г. Возраст и состав участников группировки ESET не раскрывает.

Также ESET подозревает этих хакеров в связях с Федеральной Службой Безопасности России (ФСБ). Доказательства этого она не предоставляет.

Low/no-code-революция: новая архитектура цифровой независимости Конференция

По словам экспертов ESET, основные цели Turla – это правительства, дипломатические представительства и оборонные организации, в основном в Европе, Центральной Азии и на Ближнем Востоке.

«Мы выявили две национальные правительственные организации, скомпрометированные Cereal, в регионах, которые тесно связаны с известными целями Turla. Согласно данным телеметрии ESET, около 70% стран, ставших целью Turla с 2022 г. – это бывшие советские республики или европейские страны, которые когда-то были тесно связаны с Советским Союзом», – говорится в заявлении ESET.

«Инструментарий Cereal демонстрирует способность Turla осуществлять медленное, осторожное и долгосрочное вторжение, построенное вокруг серверов Microsoft Exchange, – добавили эксперты компании. – Cereal – это тщательно разработанный инструмент для долгосрочного, скрытого кибершпионажа. Он оставляет минимум данных на диске, избегает внешней инфраструктуры, которую можно обнаружить и заблокировать, и скрывается внутри легитимных процессов Exchange».