Romanya istihbaratı SRI, Turla'nın bir kamu kurumunun e-posta sistemine saldırısını Aralık 2025'te durdurduğunu açıkladı
ESET'in Turla'ya ait Cereal araç setini ortaya çıkarmasının ardından Romanya İstihbarat Servisi SRI, saldırıyı Aralık 2025'te tespit ettiğini ve hassas veri sızdırıldığına rastlanmadığını duyurdu. Hedef kurumun adı açıklanmadı.
Romanya İstihbarat Servisi (SRI), Rusya bağlantılı Turla grubunun bir Romanya kamu kurumunun e-posta sistemine yönelik saldırısını durdurduğunu açıkladı. The Record'un aktardığına göre SRI, saldırıyı Aralık 2025'te tespit ettiğini, etkilenen sistemleri kontrol altına alıp geri getirdiğini ve "hassas veri sızdırıldığının tespit edilmediğini" Çarşamba günü duyurdu.
Açıklama, ESET'in bu hafta yayımladığı araştırmanın ardından geldi. Sitede 10 Kasım'da yazdığımız gibi ESET, Turla'nın Cereal adlı daha önce bilinmeyen bir araç setiyle Romanya ve Kazakistan'daki devlet e-posta sunucularını ele geçirdiğini, Romanya'da zararlının NATO ve AB kurumlarıyla yapılan yazışmaları yakalamak üzere ayarlandığını bildirmişti.
SRI ne söyledi, ne söylemedi?
SRI'ya göre saldırganlar Microsoft sistemlerindeki açıkları kullandı ve Romanyalı uzmanlar saldırıyı durdurdu; etkilenen e-posta hizmeti yeniden çalışıyor. Kurum, hedef alınan kamu kurumunun adını ve saldırganların ilk erişimi nasıl elde ettiğini açıklamadı. Hangi açıkların kullanıldığına dair ayrıntı da yok. SRI, olayı ilgili Romanya makamlarıyla, Avrupa istihbarat servisleriyle ve NATO/AB ortaklarıyla paylaştığını, Rusya bağlantılı olabilecek başka operasyonları da incelediğini belirtti.
Bağlam
Secret Blizzard ve Venomous Bear adlarıyla da izlenen Turla, Rusya Federal Güvenlik Servisi (FSB) ile ilişkilendiriliyor ve yirmi yılı aşkın süredir Avrupa, Orta Asya ve Orta Doğu'da hükümetleri, diplomatik misyonları ve savunma kurumlarını hedef alıyor. The Record, Temmuz'da Romanya'nın ulusal tapu sicili sisteminin bir siber saldırıyla kesintiye uğradığını da hatırlatıyor.
Ne yapılmalı?
- On-premises Exchange işleten kurumlar, sunucuların desteklenen sürümde ve son güvenlik güncellemeleriyle çalıştığını doğrulamalı; ESET'in Cereal araştırmasında paylaştığı göstergeler varsa Exchange sunucularında bunlar için tarama yapmalı.
- Transport rule ve journaling ayarları düzenli gözden geçirilmeli; belirli alan adlarına giden postaları kopyalayan beklenmedik kurallar alarm üretmeli.
- NATO, AB veya yabancı kurumlarla hassas yazışma yapan birimler, e-posta trafiğini izleyen sunucu taraflı implantlara karşı uçtan uca şifreli kanal kullanımını değerlendirmeli.
- Mevcut transport kurallarını yalnızca okuma amaçlı listelemek için Exchange Management Shell'de:
Get-TransportRule | Format-List Name,State,Priority,Description
Get-TransportAgent
