Mit Russland verbundene Hacker spähten Nato- und EU-E-Mails rumänischer Behörde aus
Der Cybersicherheitsdienst ESET erklärte, die mit Russland verbundene Gruppe Turla habe einen E-Mail-Server der rumänischen Regierung kompromittiert, um die Korrespondenz mit der Nato und der EU abzufangen.
Automatisch aus dem englischen Original übersetzt; maßgeblich ist die englische Fassung.
Mit Russland verbundene Hacker haben den E-Mail-Server einer rumänischen Regierungsbehörde kompromitiert, um die Korrespondenz mit der Nato und der Europäischen Union abzufangen, wie das Cybersicherheitsunternehmen ESET in einer am Dienstag veröffentlichten Untersuchung mitteilte. Der rumänische Nachrichtendienst SRI bestätigte, dass der Angriff stattgefunden hatte, und erklärte, er sei eingedämmt worden.
ESET schrieb die Kampagne Turla zu, einer Hackergruppe, die nach Angaben des Unternehmens weithin als Teil des russischen Inlandsgeheimdienstes FSB angesehen wird und auch unter den Namen Snake und Secret Blizzard bekannt ist. Die Gruppe installierte demnach eine Schadsoftware namens CerealBox auf dem Microsoft-Exchange-Server der rumänischen Institution, die so konfiguriert war, dass sie nach Nachrichten suchte, die mit Adressen der Domains nato.int und europa.eu ausgetauscht wurden, wie aus der Analyse von ESET hervorgeht.
Das SRI teilte mit, sein Nationales Cyberint-Zentrum habe den Angriff im Dezember 2025 erstmals identifiziert und seither Gegenmaßnahmen ergriffen sowie dessen Auswirkungen behoben. Die Angreifer nutzten „systemische Schwachstellen“ in Microsoft-Betriebssystemen aus, jedoch sei keine Entnahme sensibler Daten festgestellt worden, und der betroffene E-Mail-Dienst sei repariert worden, so das SRI. Der Dienst erklärte, er habe europäische und natorussische Nachrichtendienstpartner informiert.
ESET erklärte, die Schadsoftware, die ausgewählte Nachrichten lesen und löschen konnte, ohne Spuren zu hinterlassen, zielte auf E-Mails mit Anhängen wie .doc-, .docx- oder .pdf-Dateien ab, die Kriterien wie Absender, Empfänger und Betreffzeile erfüllten. Forschern zufolge war der Server der rumänischen Institution seit mindestens 23. Dezember 2025 kompromittiert, und dasselbe Werkzeugset sei einen Monat zuvor bei einer Regierungsbehörde in Kasachstan gefunden worden.
Turla ist seit mehr als zwei Jahrzehnten aktiv und hat laut ESET zuvor Regierungen, diplomatische Vertretungen und Verteidigungsorganisationen vor allem in Europa, Zentralasien und dem Nahen Osten ins Visier genommen. Das SRI erklärte, es führe komplexe Ermittlungen zu weiteren Aktivitäten im Zusammenhang mit russischen Cyberkampagnen gegen rumänische Institutionen fort.
Was wir wissen
- ESET erklärte, dass die mit Russland in Verbindung stehende Hackergruppe Turla einen rumänischen Regierungsserver kompromittiert hat, um die Korrespondenz mit der NATO und der EU abzufangen.
- Der rumänische Geheimdienst SRI bestätigte den Angriff und erklärte, er sei im Dezember 2025 identifiziert und seitdem eingedämmt worden, ohne dass sensible Daten abgezogen wurden.
- Die Schadsoftware CerealBox habe auf E-Mails mit Dateianhängen an und von Adressen der Domains nato.int und europa.eu abgezielt, teilte ESET mit.
- Derselben Angreifersatz sei einen Monat zuvor bei einer Regierungseinrichtung in Kasachstan gefunden worden, so ESET.
- ESET erklärt, Turla, auch bekannt als Snake, werde weitgehend als Teil des russischen Inlandsgeheimdienstes FSB angesehen.
Noch nicht bestätigt
- Wie sich die Angreifer ursprünglich Zugriff auf den Exchange-Server verschafften.
- Die genaue Anzahl der abgefangenen oder kopierten Nachrichten.
Warum das für Europa wichtig ist
Der Angriff zielte direkt auf die Kommunikation einer rumänischen Institution mit der NATO und der EU ab – zu einer Zeit, in der Russlands Krieg in der Ukraine die Abstimmung der Verbündeten und den Nachrichtenaustausch zu einem häufigen Ziel staatlich unterstützter Hackergruppen gemacht hat. Rumänien war zudem bereits in der Vergangenheit mit Cyberangriffen konfrontiert, die pro-russischen Gruppen zugeschrieben wurden, darunter eine Beanspruchung durch Killnet im Jahr 2022 bezüglich der Störung rumänischer Flughafen-Websites und ein internationales Vorgehen gegen die pro-russische Gruppe NoName057(16) im Jahr 2025, wobei keiner dieser Fälle E-Mail-Spionage beinhaltete.
Quellen
- G4Media: Hackeri ruși afiliați serviciului secret al Rusiei au spionat o instituție guvernamentală din România, care lucrează cu NATO și UE / SRI confirmă atacul și susține că a fost contracarat la timp
- Digi24: Schimbul de mesaje dintre România și NATO, dar și cu UE, interceptat de hackerii pro-ruși. Anunțul făcut de SRI
- Adevărul: Spionaj rus la o instituție guvernamentală din România: e-mailurile către NATO și UE, interceptate de hackeri afiliați FSB
- Libertatea: Hackerii ruși au luat la țintă România: ce spune SRI despre tentativa de interceptare a comunicațiilor cu NATO și UE
Fragen und Antworten
- Wer steckt hinter dem Angriff?
- Das Cybersecurity-Unternehmen ESET schrieb ihn Turla zu, einer Hackergruppe, die weithin als Teil des russischen FSB-Sicherheitsdienstes gilt.
- Worauf hatten es die Hacker abgesehen?
- Schadsoftware auf einem rumänischen Regierungs-E-Mail-Server suchte nach Korrespondenz mit NATO- und EU-Adressen, teilte ESET mit.
- Wurden Daten gestohlen?
- Der rumänische Geheimdienst SRI erklärte, es sei kein Abfluss sensibler Daten festgestellt worden und der betroffene E-Mail-Dienst sei wieder instand gesetzt worden.