Rusya bağlantılı Turla, Romanya’nın NATO yazışmalarını hedef aldı

Rusya bağlantılı Turla, Romanya’nın NATO yazışmalarını hedef aldı

Rusya Federal Güvenlik Servisi (FSB) ile bağlantılı olduğu değerlendirilen Turla grubu, Romanya’daki bir kamu kuruluşunun e-posta altyapısına sızdı. Slovak siber güvenlik şirketi ESET’in tespitlerine göre saldırganlar, Aralık 2025’te ele geçirdikleri Microsoft Exchange sunucuları üzerinden NATO ve Avrupa Birliği ile ilgili yazışmaları sessizce topladı.

Operasyonda, araştırmacıların “Cereal” adını verdiği ve daha önce belgelenmemiş modüler bir zararlı yazılım ailesi kullanıldı. Araç seti veri çalmanın ötesine geçerek kuruluşun ağını haritalandırdı, sunucuda komut çalıştırdı ve belirli ölçütlere uyan e-postaların kopyalarını saldırganların daha sonra alabileceği şekilde hazırladı.

CerealBox, NATO ve AB adreslerini ayıkladı

ESET’in 10 Kasım’da kamuoyuna açıkladığı bulgular, Romanya’daki sunucuların 23 Aralık 2025’te ele geçirildiğini gösteriyor.

Cereal ailesindeki “CerealBox” adlı bileşen, NATO ve AB kurumlarına ait adreslerin yer aldığı mesajları taradı. Önceden tanımlanmış filtrelere uyan yazışmalar arasından özellikle Word veya PDF eki bulunan e-postalar seçildi. İletilerin kopyaları önce sıkıştırıldı, ardından şifrelenerek daha sonra alınmak üzere sistemde tutuldu.

Saldırganlar böylece geniş bir posta arşivini tek seferde dışarı aktarmak yerine siyasi, askerî veya kurumsal değer taşıma ihtimali yüksek yazışmalara yöneldi. Bu yöntem, büyük hacimli veri transferlerinin güvenlik sistemlerinde alarm üretmesi riskini de azalttı. Başka bir ifadeyle operasyon, veri miktarından çok istihbarat değerine göre şekillendirildi.

Cereal’in teknik yapısı da sıradan e-posta hırsızlığı girişimlerinden ayrılıyor. ESET, zararlı yazılımın Microsoft Exchange’in iç işleyişine ilişkin derin bilgi gerektiren yöntemleri alışılmadık .NET çalıştırma teknikleriyle birleştirdiğini bildirdi. Komutların bellekte yürütülmesi, diskte bırakılan izleri azalttı ve adli incelemeyi zorlaştırdı.

Komuta altyapısı hedef kurumun içine taşındı

Zararlı yazılımların çoğu, ele geçirilen sistem ile saldırganların dışarıdaki komuta ve kontrol sunucuları arasında düzenli trafik oluşturuyor. Bu bağlantılar güvenlik ekiplerine saldırıyı fark etme, kullanılan alan adlarını engelleme ve operasyonun altyapısını izleme fırsatı verebiliyor.

Cereal ise hedef kuruluşun kendi Microsoft sunucularını operasyon altyapısının bir parçası haline getirdi. Bu tercih, meşru sunucu faaliyetleriyle casusluk amaçlı işlemler arasındaki çizgiyi bulanıklaştırdı. Araç seti Exchange üzerinden komut alabildi, bunları bellekte çalıştırabildi ve seçilmiş mesajları dışarıyla sürekli bağlantı kurmadan hazırlayabildi. Hedef açıktı: Sisteme girdikten sonra mümkün olduğunca uzun süre fark edilmemek.

ESET, Cereal’i ilk kez Kasım 2025’te Kazakistan’daki bir kamu kurumunun sunucusunda tespit etti. Romanya’daki sızma yaklaşık bir ay sonra belirlendi. Araştırmacılar, 15 Ocak 2026’da Kazakistan’daki faaliyetlerde belirgin bir artış yaşandığını da kaydetti; tarih, Rusya ve bazı komşu ülkelerde kutlanan Eski Yeni Yıl’ın hemen sonrasına denk geliyordu.

ESET saldırıyı yüksek güvenle Turla’ya bağladı

Bratislava merkezli ESET, operasyonu yüksek güven düzeyiyle Turla’ya atfetti. Değerlendirmede, Cereal ile birlikte kullanılan ve daha önce Turla’yla ilişkilendirilen başka bir bileşenin yanı sıra grubun eski zararlı yazılımlarındaki kavramsal benzerlikler etkili oldu.

Turla, siber güvenlik çevrelerinde uzun süreli ve hedef odaklı operasyonlar yürüten gelişmiş kalıcı tehdit gruplarından biri olarak biliniyor. Şirketin verilerine göre grubun hedef aldığı ülkelerin yüzde 70’ini Sovyetler Birliği’nden ayrılan ülkeler ile Doğu Avrupa ve Orta Asya’daki eski komünist devletler oluşturuyor. Kamu kurumları başlıca hedefler arasında yer alırken Turla, daha önce Ukrayna’daki yüksek profilli kuruluşlara yönelik saldırılarla da gündeme geldi.

Romanya’nın seçilmesi, bu coğrafi ve siyasi örüntüyle uyumlu.

NATO’nun doğu kanadında bulunan ülke, Rusya’nın Ukrayna’ya karşı başlattığı geniş çaplı savaşın ardından hava sahası ihlalleri, insansız hava araçlarına müdahaleler ve kendi münhasır ekonomik bölgesindeki ticari gemilerin vurulması gibi güvenlik sorunlarıyla karşılaştı. NATO ve AB yazışmalarının hedef alınması, Bükreş’in ittifak içindeki değerlendirmeleri ile Ukrayna’ya verilen desteğe ilişkin bilgilerin taşıdığı istihbarat değerine işaret ediyor. Bu tablo, saldırının neden doğrudan resmî e-posta trafiğine yöneldiğini de açıklıyor.

Karadeniz’deki siber baskı Türkiye’yi de ilgilendiriyor

Romanya daha önce de Rusya bağlantılı siber faaliyetlerin hedefi oldu. Mayıs 2025’te başka bir Rus gelişmiş kalıcı tehdit aktörü, Ukrayna’ya destek sağlayan ve aralarında Romanya’daki kuruluşların da bulunduğu savunma şirketlerine saldırdı. Savaşın başlamasından birkaç ay sonra düzenlenen daha basit dağıtık hizmet engelleme saldırıları ise kamu kurumları ile finans sektörüne ait internet sitelerini saatler boyunca erişilemez hale getirdi.

Cereal operasyonunda amaç hizmet kesintisi değil, uzun süreli istihbarat toplamaktı. Microsoft Exchange gibi merkezi e-posta sistemleri, kurum içi karar süreçleriyle dış ortaklarla yürütülen yazışmaları aynı noktada topladığı için devlet destekli gruplara geniş bir görüş alanı sağlıyor.

Bu tür saldırılara karşı yalnızca dış bağlantıların izlenmesi yeterli olmayabilir. Sunucu belleğindeki işlemlerin, yönetici yetkilerinin ve posta kutularındaki olağan dışı filtreleme davranışlarının da takip edilmesi gerekiyor. Bu durum, kurumların olay tespit yöntemlerini ve müdahale takvimini doğrudan etkiliyor.

Türkiye de NATO üyesi, Karadeniz’e kıyısı bulunan ve Ukrayna savaşıyla bağlantılı askerî ve diplomatik trafiğin merkezindeki ülkelerden biri. Cereal’in Türkiye’de kullanıldığına ilişkin kamuoyuna açıklanmış bir bulgu yok. Ancak Romanya örneği, kamu kurumları ile savunma şirketlerinin e-posta altyapısının benzer casusluk girişimlerine karşı korunması gerektiğini bir kez daha gösteriyor.

Şimdi araştırmacıların önünde Cereal araç setinin başka ülkelerdeki Exchange sunucularına yerleştirilip yerleştirilmediği sorusu var. ESET’in yayımladığı teknik göstergelerin incelenmesi ve Turla’nın yeni bileşenlerinin izlenmesi, operasyonun gerçek kapsamının belirlenmesinde etkili olacak.