ロシアのハッカー集団、政府系メールサーバーを侵害　NATO・EUとのやり取りを窃取

ロシア国家と関連するハッカーが、新たなマルウェアを使ってルーマニアとカザフスタンの政府機関のメールサーバーに侵入し、メッセージを密かに傍受していたことが、火曜日に公表された調査で明らかになりました。傍受された中には、NATO（北大西洋条約機構）や欧州連合（EU）当局者との間でやり取りされたメールも含まれています。

スロバキアのセキュリティ企業ESETは、この攻撃キャンペーンを、ロシア連邦保安庁（FSB）と関係があるとされる長年活動中のロシアのスパイ集団「Turla」の仕業であると断定しました。

ハッカーは、これまで知られていなかった「Cereal」と呼ばれるツールキットを使い、メールの通信を監視して特定のメッセージを盗み出し、侵害したMicrosoft Exchangeサーバーへのアクセスを検知されることなく維持していました。

ESETは次のように説明しています。「Cerealツールセットは、長期にわたる隠密のサイバースパイ活動のために、周到に作り込まれた道具です。ディスク上にはほとんど痕跡を残さず、発見・遮断されかねない外部インフラも使わず、正規のExchangeプロセスの中に身を潜めます」

研究者によると、このツールキットを最初に発見したのは2025年11月で、カザフスタンの政府機関のメールサーバー上でした。その後、ルーマニアの政府関連組織でも確認されました。

ルーマニアでは、NATOやEUの機関とやり取りしたメールを収集するようマルウェアが設定されていました。この攻撃は、ウクライナ戦争をめぐるロシアとNATOの緊張が高まるなかで起きました。ロシアのドローンがルーマニア領内に侵入したり接近したりする事案も繰り返し発生しています。

カザフスタンについてESETは、同国に滞在するロシア人亡命者やクレムリン批判者への監視の目が強まるなかで、侵入が行われたと述べています。ただし、ハッカーが反体制派に関する情報を特に狙っていたのかどうかは、研究者にも特定できませんでした。

研究者は、このキャンペーンについて、ハッカーの活動を隠す手口が異例である点が際立っていると指摘します。攻撃者はマルウェアを操作するために別個のサーバーを使うのではなく、被害組織自身の侵害済みExchangeサーバーを使って命令を出し、作戦を管理していました。

このため、セキュリティ研究者に検知されたり、遮断・停止されたりする外部サーバーに頼ることなく、活動を続けることができました。

「侵害したExchangeサーバーを作戦の中枢として悪用する手法は珍しく、使っているAPTグループはごくわずかです」とESETは述べています。「Turlaは過去にも、これに類する手法を使ったことがあります」

Turlaの新ツールキットの構成要素の一つ「CerealBox」は、メールの処理を担うMicrosoft Exchangeのサービスに直接組み込まれていました。これにより攻撃者は、サーバーを通過する関心対象のメッセージを特定し、捕捉することができました。

ESETによれば、この手法は他のマルウェアファミリーでは文書化されたことがなく、攻撃者がMicrosoftのメールインフラに精通していることを示しています。

研究者は、攻撃者が当初どのように政府機関のサーバーへ侵入したのか、また、どれだけの情報を入手したのかについては、特定できなかったとしています。

Turlaは「Secret Blizzard」や「Venomous Bear」としても知られ、少なくとも2004年から活動しています。ロシアで最も歴史ある国家関連ハッキング集団の一つとみなされており、Turlaは、欧州、中央アジア、中東の政府機関、外交使節団、防衛関連組織を長年標的にしてきました。

ESETによると、2022年以降にTurlaが標的とした国のおよそ70%は、旧ソ連構成国か、旧ソ連と歴史的なつながりを持つ欧州の国々です。