Bükreş'teki Romanya Hükümeti binası Victoria Sarayı, cephesinde dev Romanya bayrağı ve önünde AB bayrağıyla; Turla'nın e-postalarını kopyaladığı kurum Romanya'da ulusal bir devlet kurumu

Rusya bağlantılı Turla (Snake) siber casusluk grubu, daha önce bilinmeyen «Cereal» adlı araç setiyle Romanya ve Kazakistan'daki birer ulusal devlet kurumunun Microsoft Exchange e-posta sunucularına sızarak resmi yazışmaları ekleriyle birlikte sessizce kopyaladı. Slovak güvenlik şirketi ESET'in 10 Kasım 2026'da yayımladığı araştırmaya göre grup, Romanya'daki kurum üzerinden NATO ve Avrupa Birliği (AB) ile yapılan e-posta trafiğini topladı. ESET, kullanılan araç setini yüksek güvenle Turla'ya bağlıyor.

ESET araştırmacıları «Cereal» araç setini ilk kez 28 Kasım 2025'te Kazakistan'daki ulusal bir devlet kurumunda tespit etti. Aynı araçlara daha sonra Romanya'daki ulusal bir devlet kurumunun ağında rastlandı ve bu sunucunun en az 23 Aralık 2025'ten beri ele geçirilmiş durumda olduğu saptandı. Her iki ülkede hedef alınan kurumların adı açıklanmadı.

E-postalar nasıl kopyalandı

Araç setinin «CerealBox» adlı bileşeni, Exchange üzerinde e-posta trafiğini yöneten EdgeTransport.exe sürecine enjekte edilerek mevcut taşıma ajanlarını doğrudan bellekte ele geçiriyor. Sunucu yapılandırmasında iz bırakmayan bu işlem sırasında e-postalar normal biçimde akmaya devam ediyor. ESET, bellekteki taşıma ajanlarını ele geçiren bu yöntemin daha önce hiçbir zararlı yazılımda belgelenmediğini belirtiyor.

ESET beyaz raporuna göre CerealBox; DOC, DOCX veya PDF uzantılı eki bulunan ve sabit listelerdeki gönderen, alıcı, konu ya da ek adlarından birine uyan e-postaları seçiyor. Seçilen iletiler sıkıştırılıp şifrelenerek diskte saklanıyor, saldırganlar daha sonra bu dosyaları kendi sistemlerine çekip diskten siliyor. Romanya'daki kurulumda yazılım, nato.int ve europa.eu uzantılı adreslere giden veya bu adreslerden gelen e-postaları toplayacak biçimde ayarlandı. Hedef listesinde AB ve NATO ile ilgili işlerde çalışan birkaç kişi de yer aldı.

Zararlı yazılımın desteklediği komutlar arasında posta kutularını çekmek, Active Directory dizinini sorgulamak ve Windows'un sakladığı kimlik bilgilerini (LSA Secrets) çıkarmak bulunuyor. ESET, bileşenlerin çoğunun diske yazılmadan bellekte çalıştığını aktarıyor.

Saldırganın sunucusu yok

ESET incelemesinde saldırganlara ait bir komuta sunucusu bulunamadı. Bunun yerine «CerealNeuron» adlı arka kapı, ele geçirilen Exchange sunucusunda normal Outlook Web Access, Autodiscover ve ActiveSync trafiğine benzeyen adresleri dinliyor ve gelen şifreli istekleri komut olarak çalıştırıyor. Böylece kurban kurumun kendi sunucusu kontrol merkezi haline geliyor. Bu yapı nedeniyle saldırganların IP adresleri belirlenemedi.

Neden Romanya ve Kazakistan

ESET'e göre Romanya'daki hedefleme, 2025 başından beri Romanya'ya düşen Rus dronları ve Karadeniz'de NATO görevi çağrılarıyla bağlantılı olabilir. Araştırmada Kazakistan'ın da 2026 başından beri bazı Rus muhaliflerini sınır dışı ettiği belirtiliyor.

En az 2004'ten beri aktif olan Turla grubunun, Rusya Federal Güvenlik Servisi FSB'nin bir parçası olduğu değerlendiriliyor. Grup ağırlıklı olarak Avrupa, Orta Asya ve Orta Doğu'daki hükümetleri, diplomatik misyonları ve savunma kurumlarını hedef alıyor. ESET verilerine göre 2022'den beri Turla'nın hedef aldığı ülkelerin yaklaşık yüzde 70'ini eski Sovyet cumhuriyetleri ya da geçmişte Sovyetler'e yakın olmuş Avrupa ülkeleri oluşturuyor.

Neler bilinmiyor

Saldırganların sunuculara ilk aşamada nasıl girdiği belirlenemedi. ESET beyaz raporunda, hedef alınan Exchange sunucuları internete açık olduğu için bir güvenlik açığının kullanılmış olabileceği ifade ediliyor. ESET beyaz raporu ve Cybernews aktarımına göre saldırılarda ne kadar e-posta çalındığı da açıklanmadı.

Türkiye açısından

Türkiye'nin NATO üyesi olması ve Turla'nın hedef bölgeleri arasında Orta Doğu'nun da bulunması, ortaya çıkarılan tekniği kurumsal e-posta güvenliği açısından öne çıkarıyor. Romanya örneği, NATO ve Avrupa Birliği ile yazışan kurumların internete açık Microsoft Exchange sunucularının siber casusluk hedefi olabileceğini gösteriyor. Türkiye'de bu araç setiyle ilgili herhangi bir tespit açıklanmadı.

Kaynaklar

Kapak görseli: «ROMANIA, Bucuresti, 1. Dec. 2015, Palatul Guvernului (exterior cu Tricolor)», Britchi Mirela, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, 1200x675).