Romanya istihbaratı Turla'nın bir kamu kurumuna saldırısını durdurduğunu açıkladı

Romanya İstihbarat Servisi (Serviciul Român de Informații, SRI) 11 Kasım’da yaptığı açıklamada, Rus siber aktörü APT Turla’nın geçen yılın sonunda ülkedeki bir kamu kurumunu ele geçirme girişimini, bünyesindeki Ulusal Cyberint Merkezi aracılığıyla Aralık 2025’te tespit ettiğini açıkladı. SRI’ya göre saldırganlar Microsoft işletim sistemlerindeki bir dizi açığı kullandı, ancak Merkezin müdahalesiyle saldırı durduruldu. Kurum, hassas veri sızdırıldığına rastlanmadığını ve etkilenen e-posta hizmetinin düzeltildiğini belirtti.

SRI, açıklamayı kamuoyunda çıkan bilgilere ilişkin olarak yaptığını belirtiyor. Kurum, yasal muhataplarını bilgilendirdiğini, konuyu Avrupalı istihbarat ortaklarıyla ve AB ile NATO düzeyinde paylaştığını ve Rusya Federasyonu’nun yürüttüğü siber kampanyalarla bağlantılı başka olayları da araştırdığını açıkladı. The Record’a göre SRI hedef alınan kurumun adını ve saldırganların ilk erişimi nasıl sağladığını açıklamadı.

ESET’in bulguları

Slovak güvenlik şirketi ESET, 10 Kasım’da yayımladığı raporda araç setini ilk olarak 28 Kasım 2025’te Kazakistan’daki bir kamu kurumunun Exchange sunucusunda bulduğunu açıkladı. ESET tespit yöntemlerini geliştirdikten sonra aynı araç setini, 23 Aralık 2025’te ele geçirilen Romanya’daki bir kamu kurumunda da buldu. Şirket araç setine, büyük ölçüde serileştirmeye (serialization) dayandığı için Cereal adını verdi ve onu yüksek güvenle Turla’ya atfediyor. ESET’e göre en az 2004’ten beri faaliyette olan Turla, yaygın olarak Rusya Federal Güvenlik Servisi’nin (FSB) bir parçası olarak değerlendiriliyor.

ESET’e göre Cereal, Exchange sunucularında çalışmak üzere tasarlanmış modüler .NET bileşenlerinden oluşuyor. Bileşenlerden yalnızca biri diske tanınabilir bir .NET dosyası olarak yazılıyor, diğerleri şifreli kaplar içinde taşınıp bellekte çalıştırılıyor. Komutlar tek bir büyük arka kapı yerine, her biri belirli bir iş için derlenmiş küçük .NET programları olarak gönderiliyor. Bu komutlar arasında posta kutularını ya da belirli iletileri almak, Active Directory’yi sorgulamak ve Windows’un yerel olarak sakladığı kimlik bilgilerini (LSA Secrets) çıkarmak var.

Komuta merkezi olarak kurbanın Exchange’i

ESET’e göre araç setinin en dikkat çeken yanı, harici bir komuta kontrol altyapısı kullanmaması. Ana arka kapı CerealNeuron dışarıya bağlantı kurmuyor, ele geçirilmiş Exchange sunucusunda Outlook Web Access, Autodiscover ve ActiveSync adreslerine benzeyen yollara gelen istekleri bekliyor. Doğru şifrelenmiş ve denetimlerden geçen bir istek komut olarak çalıştırılıyor, diğerleri olağan görünen bir Exchange hata sayfasına yönlendiriliyor. ESET bu nedenle saldırganların bağlandığı IP adreslerini belirleyemediğini söylüyor.

E-postaları toplayan CerealBox bileşeni, Exchange’in e-posta akışını yöneten EdgeTransport.exe sürecine enjekte ediliyor ve Exchange’de hâlihazırda yüklü olan transport agent’ların işleyicilerini kendi koduyla sarıyor. Böylece Exchange yapılandırmasında yeni bir agent görünmüyor ve e-posta akışı olağan biçimde sürüyor. ESET’e göre bileşen .doc, .docx ya da .pdf eki bulunan ve belirli gönderen, alıcı, konu ya da ek adı listelerine uyan iletileri sıkıştırıp şifreleyerek diskte biriktiriyor, saldırganlar bu dosyaları daha sonra alıp siliyor. ESET bu tekniğin daha önce hiçbir zararlı yazılım ailesinde belgelenmediğini belirtiyor.

Romanya’da CerealBox, NATO ve AB kurumlarının adresleriyle yazışan iletileri toplayacak şekilde ayarlanmıştı. ESET’in telemetrisine göre Turla’nın 2022’den bu yana hedef aldığı ülkelerin yaklaşık yüzde 70’i eski Sovyet cumhuriyetleri ya da bir zamanlar Sovyetler Birliği’ne yakın olan Avrupa ülkeleri.

ESET, saldırı göstergelerinin (IOC) tam listesini GitHub deposunda ve ayrıntılı teknik raporunda yayımladı. Şirkete göre Cereal, Turla için Exchange sunucularının yalnızca bir e-posta sunucusu değil, uzun süreli bir toplama noktası ve iç ağda komut çalıştırma merkezi olduğunu gösteriyor.