CRITICALריגול סייברריגול · ממשלות

Turla ריגלה אחרי מיילים של נאט״ו ואיחוד אירופה

· מקורות: ESET Research (WeLiveSecurity), CISA

incident · cereal-1110CRITICAL

Turla ריגלה אחרי מיילים של נאט״ו ואיחוד אירופה

קבוצה
Turla, קבוצת ריגול שמזוהה עם רוסיה
כלי
Cereal, ערכת נוזקות חדשה לשרתי Exchange
קורבנות
גוף ממשלתי בקזחסטן וגוף ממשלתי ברומניה
פרסום
ESET Research, 10 בנובמבר 2026
eset · analysis

איך זה עובד

  • הנוזקה יושבת על שרת ה־Exchange של הקורבן עצמו
  • הדלת האחורית CerealNeuron מאזינה לבקשות בנתיבים שנראים כמו תעבורת Exchange רגילה
  • לא נמצא שרת שליטה חיצוני. השרת של הקורבן משמש כמרכז השליטה
  • הרכיב CerealBox מוזרק לתהליך שמעביר את הדואר בשרת, EdgeTransport.exe
  • שם הוא מסנן מיילים, מכווץ ומצפין אותם, ושומר אותם בקבצים לשליפה
  • לפי ESET, הזרקה כזו לשירות העברת הדואר לא תועדה קודם באף משפחת נוזקות
cereal · timeline

מהגילוי ועד הפרסום

  1. ESET מוצאת את Cereal בשרת Exchange של גוף ממשלתי בקזחסטן

  2. גוף ממשלתי ברומניה נפרץ

  3. המקרה ברומניה מזוהה כחודש אחרי הגילוי הראשון, לאחר כיוונון זיהויים

  4. זינוק בפעילות התוקפים בקזחסטן

  5. ESET מפרסמת את המחקר ואת מזהי התקיפה

toolset · cerealHIGH

ערכה מודולרית

8

רכיבים בערכת Cereal שתועדו בידי ESET

פקודות נשלחות כתוכנות קטנות ונפרדות, מה שמרמז על מערכת פנימית שמייצרת אותן

about · turla

מי זו Turla

  • קבוצת ריגול מתקדמת שמזוהה עם רוסיה, ידועה גם בשם Snake
  • רשויות בארה״ב ייחסו את נוזקת Snake ליחידה 16 של שירות הביטחון הרוסי FSB
  • לפי ESET, כ־70% מהמדינות שהקבוצה תקפה מאז 2022 הן רפובליקות סובייטיות לשעבר או מדינות אירופה קרובות
  • ESET קושרת את התקיפה בקזחסטן לגירוש גולים רוסים מהמדינה מאז ינואר 2026
  • ואת רומניה למתיחות האזורית, כולל תקריות רחפנים רוסיים
cerealbox · filter

אילו מיילים נאספו

  • ברומניה הרכיב הוגדר לאסוף מיילים שנשלחו לכתובות של נאט״ו והאיחוד האירופי או מהן
  • נאספו רק מיילים עם קובץ מצורף מסוג doc, docx או pdf
  • הסינון לפי כתובות שולח ונמען, מילים בנושא ושמות קבצים מצורפים
  • רשימות התעלמות מנעו איסוף של מיילים לא רלוונטיים
  • המיילים נשלפו ונמחקו מהשרת בעזרת פקודות רגילות של הדלת האחורית
attribution · eset

הייחוס

  1. ייחוס ל־Turla ברמת ביטחון גבוהה

  2. לצד Cereal פעל רכיב נוסף שכבר קושר בפומבי ל־Turla

  3. דמיון רעיוני לנוזקות ישנות של הקבוצה

  4. השם CerealNeuron מרמז על Neuron, שה־NCSC הבריטי ייחס ל־Turla

  5. איך התוקפים נכנסו לשרתים, לא מתואר במחקר

takeaway · cyberpulse

מה זה אומר לארגון שלכם

  • שרת Exchange שפונה לאינטרנט יכול לשמש לתוקף גם כנקודת שליטה, בלי תעבורה לשרת חיצוני
  • חיפוש תעבורה יוצאת חשודה לא יספיק. צריך לנטר בקשות חריגות לנתיבי OWA ו־ActiveSync
  • לבדוק תקינות של קבצי DLL ותהליכים בשרתי הדואר, לא רק את חוקי ההעברה שמוגדרים בהם
  • מיילים עם מסמכים מצורפים מול שותפים רגישים הם המטרה. לשקול הצפנה ברמת ההודעה
  • מזהי התקיפה זמינים במאגר של ESET ב־GitHub. כדאי להריץ מולם בדיקה