На почтовом сервере одного из госорганов Казахстана обнаружили вредоносную программу, способную незаметно перехватывать служебную переписку. Эксперты связали атаку с хакерской группировкой Turla, которую считают связанной с российскими спецслужбами.
КАК ОБНАРУЖИЛИ КИБЕРАТАКУ
Как сообщает NewTimes.kz со ссылкой на международную компанию ESET, специализирующуюся на кибербезопасности, вредоносную программу обнаружили 28 ноября 2025 года на почтовом сервере Microsoft Exchange одного из государственных органов Казахстана.
Анализ показал, что подозрительные компоненты входили в ранее неизвестный набор инструментов для кибершпионажа под названием Cereal. Программа позволяла изучать внутреннюю сеть организации, выполнять команды и собирать электронные письма.
Название пострадавшего ведомства исследователи не раскрыли.
КАК ХАКЕРЫ ПОЛУЧАЛИ ДОСТУП К ПЕРЕПИСКЕ
Особенность Cereal заключается в возможности перехватывать письма непосредственно во время их отправки. Программа проверяла содержимое сообщений и могла сохранять их копии для злоумышленников.
При этом переписка продолжалась в обычном режиме, поэтому сотрудники могли не замечать вмешательства.
Вредоносная программа также позволяла отбирать письма по адресам отправителей и получателей, темам сообщений и названиям вложений.
Для управления атакой злоумышленники использовали сам взломанный почтовый сервер, маскируя команды под обычный сетевой трафик. Это затрудняло обнаружение посторонней активности.
АНАЛОГИЧНУЮ ПРОГРАММУ НАШЛИ В РУМЫНИИ
После обнаружения Cereal в Казахстане специалисты ESET усовершенствовали инструменты выявления угрозы. Позднее аналогичную программу обнаружили в государственной организации Румынии, которую атаковали 23 декабря 2025 года.
Там вредоносное ПО было настроено на поиск писем, связанных с НАТО и Европейским союзом (ЕС). Злоумышленников интересовала переписка определённых отправителей и получателей, в том числе сообщения с документами.
Какие именно письма могли стать целью атаки в Казахстане и сколько информации получили злоумышленники, неизвестно.
ПОЧЕМУ ЭКСПЕРТЫ СВЯЗЫВАЮТ АТАКУ С ФСБ РОССИИ
Специалисты ESET с высокой степенью уверенности связывают программу с группировкой Turla, также известной как Snake.
По данным исследователей, группировка действует как минимум с 2004 года. Её связывают с Федеральной службой безопасности (ФСБ) России.
Основными целями Turla становятся государственные учреждения, дипломатические представительства и оборонные организации Европы, Центральной Азии и Ближнего Востока.
Связь с группировкой эксперты установили по техническому сходству Cereal с ранее изученными инструментами Turla. Исследователи считают, что программа предназначена для длительного скрытого наблюдения и сбора информации.
ЧТО ИЗВЕСТНО О ПРЕДЫДУЩИХ АТАКАХ НА ГОСОРГАНЫ КАЗАХСТАНА
В декабре 2025 года Центр анализа и расследования кибератак (ЦАРКА) сообщил о взломе нескольких государственных органов Казахстана.
По данным специалистов, злоумышленники не менее полугода сохраняли доступ к внутренним системам ведомств, включая почтовые серверы Microsoft Exchange. Они могли получать служебную переписку, документы и данные для входа в информационные системы.
В марте 2026 года министерство искусственного интеллекта и цифрового развития заявило, что госорганам известно об этих инцидентах. При этом ведомство не подтвердило масштабную утечку данных.
При этом неизвестно, связаны ли инциденты, о которых сообщал ЦАРКА, с кибератакой, исследованной ESET.
