Veille menaces / Attaque
Turla a transformé des serveurs Exchange gouvernementaux au Kazakhstan et en Roumanie en postes d'espionnage
Le 10 novembre 2026, ESET a révélé Cereal, une nouvelle boîte à outils cachée dans les serveurs Microsoft Exchange de deux organismes gouvernementaux nationaux, l'un au Kazakhstan, l'autre en Roumanie. Elle sélectionnait les e-mails accompagnés de pièces jointes Word ou PDF et, en Roumanie, elle était réglée pour collecter le courrier échangé avec des adresses de l'OTAN et de l'UE. ESET l'attribue à Turla avec un haut niveau de confiance, et le service de renseignement roumain (SRI) désigne lui aussi Turla. Le SRI indique que les attaquants ont exploité des vulnérabilités des systèmes d'exploitation Microsoft et qu'aucune exfiltration de données sensibles n'a été identifiée en Roumanie.
- Secteur
- Public et politique
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- Microsoft Exchange
- organismes gouvernementaux nationaux compromis[1]
- 2
- Comment c'est arrivé
- La boîte à outils était injectée dans le processus EdgeTransport.exe d'Exchange et se greffait sur les agents de transport existants du serveur pour lire le courrier. Le serveur Exchange compromis servait lui-même de centre de commande : ESET n'a trouvé aucune infrastructure de commande externe. ESET n'a pas pu établir comment les attaquants sont entrés. Le 11 novembre, le service de renseignement roumain (SRI) a indiqué que les attaquants avaient « exploité une série de vulnérabilités systémiques » des systèmes d'exploitation Microsoft, sans les nommer.[1][2][3][4] Vérifié le 12 nov. 2026
- Ce qui a été volé
- Des e-mails avec pièces jointes .doc, .docx ou .pdf correspondant à des listes d'expéditeurs, de destinataires ou d'objets ; en Roumanie, le courrier échangé avec des adresses de l'OTAN et de l'UE. Les outils pouvaient aussi récupérer des boîtes aux lettres, interroger l'Active Directory et extraire des identifiants stockés (secrets LSA). Le volume dérobé n'est pas connu. Pour le cas roumain, le SRI dit n'avoir identifié aucune exfiltration de données sensibles.[1][2][3][4] Vérifié le 12 nov. 2026
- Qui est touché
- Deux organismes gouvernementaux nationaux, l'un au Kazakhstan, l'autre en Roumanie, qu'ESET ne nomme pas.[1] Vérifié le 12 nov. 2026
- Acteur
- Turla →
Chronologie
- ESET découvre la boîte à outils sur un serveur Exchange d'un organisme gouvernemental au Kazakhstan. [1]
- Un organisme gouvernemental roumain est compromis, selon ESET, qui l'a découvert environ un mois après le cas kazakh. [1][3]
- ESET indique que l'activité au Kazakhstan s'est intensifiée à cette date. [1]
- ESET publie ses recherches et attribue Cereal « avec un haut niveau de confiance » à Turla, en citant un autre composant déjà lié publiquement au groupe et des ressemblances avec d'anciens logiciels de Turla. Selon The Record, ESET qualifie de « technique rare » l'usage d'un serveur Exchange compromis comme centre des opérations. [1][2]
- Le service de renseignement roumain (SRI) confirme l'attaque contre une institution gouvernementale roumaine, qu'il ne nomme pas, et l'attribue à l'acteur russe APT Turla. Il indique avoir repéré l'attaque en décembre 2025, que les attaquants ont exploité des vulnérabilités des systèmes d'exploitation Microsoft, qu'aucune exfiltration de données sensibles n'a été identifiée et que le service de messagerie touché a été rétabli. [4][5]