Russische Hacker spähen gezielt Kommunikation mit NATO- und EU-Bezug aus

Die Forscher entdeckten das neuartige Spionage-Toolkit "Cereal" in staatlichen Einrichtungen in Rumänien. Der Name ist eine Anspielung auf Serialisierung, einen Prozess zur Umwandlung von Daten, den das Toolkit nutzt. Auch kasachische Organisationen waren von den Angriffen betroffen.

Cyberattacken in Rumänien sollten kritische Kommunikation ausspionieren

Für ihre Attacken nutzten die Hacker kompromittierte Microsoft Exchange-Server als zentrale Plattform ihrer Spionageoperation: Statt auf klassische C&C-Server zurückzugreifen, missbrauchten die Angreifer die Infrastruktur ihrer Opfer selbst als verdeckte Kommunikationszentrale. Dadurch konnten sie ihre Aktivitäten besonders unauffällig durchführen und gleichzeitig die Entdeckung erschweren. Die von ESET analysierten Werkzeuge waren in der Lage, ausgewählte E-Mails zu identifizieren, zu sammeln und verschlüsselt für einen späteren Zugriff bereitzustellen.

"Die Heimlichkeit macht diesen Angriff besonders perfide: Irgendwo in einer Regierungsbehörde versendet ein Mitarbeiter eine E-Mail an einen Ansprechpartner einer internationalen Organisation. Die Nachricht erreicht ihr Ziel scheinbar ganz normal. Was niemand sieht: Noch bevor sie das Netzwerk verlässt, wird sie im Hintergrund unbemerkt kopiert und für Geheimdienstzwecke ausgewertet", erklärt ESET-Forscher Matías Porolli.

Rumänien, das in der NATO-Ostflanke liegt, sieht sich schon seit Längerem Aggressionen aus Russland ausgesetzt. Mitte 2025 ( https://www.eset.com/de/about/presse/pressemitteilungen/pressemitteilungen/russische-hacker-attackieren-firmen-die-waffen-fuer-die-ukraine-liefern/ ) attackierte Sednit, eine weitere russische APT-Gruppe, Rüstungsunternehmen in Osteuropa, darunter Rumänien. Zudem kam es im Sommer 2026 zu Luftraumverletzungen und Abstürze russischer Drohnen in Rumänien ( https://www.tagesschau.de/ausland/europa/rumaenien-abschuss-drohne-sprengstoff-100.html ), die die Spannungen zwischen den Ländern verstärkten.

In Kasachstan könnten die Angriffe eine Folge der zuletzt abgekühlten Beziehungen zwischen den Ländern sein. Obwohl Kasachstan Russland bei der Sanktionsumgehung unterstützt und seit Anfang 2026 Deserteure und Kriegsdienstverweigerer ausliefert, spricht sich das Land für ein schnelles Ende des Krieges ( https://www.focus.de/politik/ausland/krieg-muss-enden-sagt-kasachstan-praesident-neben-putin_95222905-009e-488a-b52d-d3937c7ccd11.html ) aus.

Europas digitale Resilienz stärken

Gerade vor dem Hintergrund des anhaltenden russischen Angriffskrieges gegen die Ukraine und der sicherheitspolitischen Neuordnung Europas gewinnen Informationen aus Behörden, Ministerien und internationalen Organisationen für Nachrichtendienste zusätzlich an Bedeutung.

Die Untersuchung zeigt außerdem, wie wichtig die Absicherung zentraler Kommunikationssysteme für öffentliche Einrichtungen und kritische Organisationen ist. Moderne Cyberspionage zielt zunehmend darauf ab, sich unauffällig in bestehenden Prozessen zu verbergen und über lange Zeiträume unentdeckt zu bleiben.

Wer ist Turla?

Die Aktivitäten fügen sich in ein bekanntes Muster russischer Cyber-Spionage ein. Turla, die dem russischen Inlandsgeheimdienst FSB zugerechnet wird, zählt seit Jahren zu den aktivsten APT-Gruppen (Advanced Persistent Threat) weltweit. Zu ihren bevorzugten Zielen gehören Regierungen, diplomatische Einrichtungen und Verteidigungsorganisationen.

Die aktuelle Entdeckung zeigt, dass für staatliche Angreifer nicht nur Netzwerke oder Endgeräte von Interesse sind, sondern vor allem Kommunikationswege. Wer E-Mail-Verkehr überwachen kann, erhält wertvolle Einblicke in politische Prozesse und kann diese gezielt lenken oder stören.

Weitere Informationen gibt es im neuen Blogpost ( https://www.welivesecurity.com/de/eset-research/turla-gruppe-nutzt-schadsoftware-mit-vielen-wertvollen-cerealien ) auf Welivesecurity.com.

(Ende)

Aussender: ESET Deutschland GmbH Ansprechpartner: Philipp Plum Tel.: +49 3641 3114 141 E-Mail: philipp.plum@eset.com Website: www.eset.de