Rus Hacker Grubu Turla, NATO ve AB Yazışmalarını Çalmak İçin Hükümet E-posta Sunucularını Hedef Aldı

Rus Hacker Grubu Turla, NATO ve AB Yazışmalarını Çalmak İçin Hükümet E-posta Sunucularını Hedef Aldı

Rusya ile bağlantılı hackerlar, Romanya ve Kazakistan’daki hükümet e-posta sunucularını hedef aldı. Amaçları, NATO ve Avrupa Birliği yetkilileriyle yapılan yazışmalar da dahil olmak üzere mesajları gizlice ele geçirmekti. Salı günü yayınlanan araştırmaya göre, bu saldırılar casusluk amacıyla gerçekleştirildi.

Slovak siber güvenlik firması ESET, bu kampanyayı Rusya Federal Güvenlik Servisi (FSB) ile bağlantılı, uzun süredir faaliyet gösteren bir Rus casusluk grubu olan Turla’ya atfetti. Hackerlar, daha önce bilinmeyen ve “Cereal” adı verilen bir araç setini kullandı. Bu araç setiyle e-posta trafiğini izlediler, belirli mesajları çaldılar ve tespit edilmeden ele geçirilmiş Microsoft Exchange sunucularına erişimi sürdürdüler.

Cereal Araç Seti: Gizli Casusluk İçin Tasarlandı

ESET, Cereal araç setinin uzun vadeli, gizli siber casusluk için dikkatlice oluşturulmuş bir araç olduğunu belirtti. Bu araç, diskte çok az iz bırakıyor. Ayrıca, keşfedilebilecek ve engellenebilecek harici altyapılardan kaçınıyor. Kendini meşru Exchange süreçleri içinde gizliyor.

Araştırmacılar, bu araç setini ilk olarak Kasım 2025’te Kazakistan’daki bir hükümet e-posta sunucusunda keşfettiklerini bildirdi. Daha sonra Romanya’daki bir hükümet kuruluşunda da tespit ettiler.

Hedefler: NATO, AB ve Rus Sürgünleri

Romanya’da kötü amaçlı yazılım, NATO ve AB kurumlarıyla yapılan e-postaları toplamak üzere yapılandırılmıştı. Bu saldırı, Rusya ile NATO arasında Ukrayna’daki savaş nedeniyle artan gerilimin ortasında gerçekleşti. Bu gerilim, Rus insansız hava araçlarının Romanya topraklarına girmesi veya yaklaşması gibi tekrarlanan olayları da içeriyordu.

Kazakistan’da ise ESET, saldırının Rus sürgünleri ve Kremlin eleştirmenleri üzerindeki artan incelemeler sırasında meydana geldiğini belirtti. Ancak araştırmacılar, hackerların özellikle muhalifler hakkında bilgi arayıp aramadığını belirleyemedi.

Saldırganların Gizlenme Taktikleri

Araştırmacılar, bu kampanyanın hackerların faaliyetlerini gizleme konusundaki alışılmadık yaklaşımıyla dikkat çektiğini ifade etti. Saldırganlar, kötü amaçlı yazılımı kontrol etmek için ayrı sunuculara güvenmek yerine, komutları vermek ve operasyonu yönetmek için kurbanların kendi ele geçirilmiş Exchange sunucularını kullandı. Bu yöntem, hackerların güvenlik araştırmacılarının tespit edebileceği, engelleyebileceği veya kapatabileceği harici sunuculara ihtiyaç duymadan faaliyet göstermesine olanak tanıdı.

ESET, ele geçirilmiş bir Exchange sunucusunu merkezi bir operasyonel merkez olarak kötüye kullanmanın nadir bir teknik olduğunu belirtti. Yalnızca birkaç APT grubu tarafından kullanılıyor. Turla’nın geçmişte bu yaklaşımın varyasyonlarını kullandığı da biliniyor.

Turla’nın yeni araç setinin bir bileşeni olan CerealBox, e-posta trafiğini işlemekten sorumlu bir Microsoft Exchange hizmetine doğrudan gömülmüştü. Bu, saldırganların sunucu üzerinden geçen ilgi çekici mesajları tanımlamasına ve yakalamasına olanak sağladı. ESET’e göre, bu teknik daha önce diğer kötü amaçlı yazılım ailelerinde belgelenmemişti. Ayrıca saldırganların Microsoft’un e-posta altyapısı hakkındaki detaylı bilgisini gösteriyor.

Araştırmacılar, saldırganların hükümet sunucularına başlangıçta nasıl erişim sağladığını veya ne kadar bilgi elde ettiklerini belirleyemedi.

Turla Grubu Hakkında

Secret Blizzard ve Venomous Bear olarak da bilinen Turla, en az 2004’ten beri faaliyet gösteriyor. Rusya’nın en köklü devlet destekli hacker gruplarından biri olarak kabul ediliyor. Grup, Avrupa, Orta Asya ve Orta Doğu’daki hükümet kurumlarını, diplomatik misyonları ve savunma kuruluşlarını hedef alma konusunda uzun bir geçmişe sahip. ESET’e göre, 2022’den bu yana Turla tarafından hedeflenen ülkelerin yaklaşık %70’i eski Sovyet cumhuriyetleri veya Sovyetler Birliği ile tarihi bağları olan Avrupa ülkeleriydi.