El 23 de diciembre de 2025, servidores de correo de una organización gubernamental rumana fueron comprometidos por el grupo de hackers Turla, ampliamente considerado afiliado al FSB, el servicio de inteligencia interior de Rusia. ESET, la firma de ciberseguridad con sede en Bratislava, hizo pública la operación el 10 de noviembre de 2026 tras investigar el conjunto de herramientas maliciosas que usaron para llevarla a cabo.
Las herramientas del ataque
Los investigadores denominaron al arsenal de software Cereal, un juego de palabras con el término técnico de serialización. El conjunto está compuesto por módulos de malware en .NET diseñados para correr sobre servidores Microsoft Exchange, recibir instrucciones, ejecutarlas en memoria, mapear la organización comprometida y extraer correos seleccionados. ESET lo describió como un conjunto de herramientas hasta entonces no documentado.
Uno de sus componentes, llamado CerealBox, tenía una tarea específica: identificar mensajes que involucraran direcciones institucionales de la OTAN y la UE. El módulo aplicaba filtros predefinidos para seleccionar correos con archivos adjuntos en Word o PDF, luego comprimía y cifraba copias para que los atacantes las recuperaran más tarde.
Lo que hizo especialmente difícil de detectar al malware fue su diseño de infraestructura. En lugar de comunicarse con un servidor externo de comando y control —el método habitual, que suele delatar la presencia del atacante— Cereal usó los propios servidores Microsoft de la organización infiltrada como infraestructura operativa. ESET señaló que la herramienta combinó técnicas novedosas que requieren un conocimiento profundo del funcionamiento interno de Exchange con métodos de ejecución en .NET poco convencionales.
Kazajistán primero, Rumania después
ESET detectó Cereal por primera vez en noviembre de 2025, cuando el mismo código malicioso apareció en el servidor de una agencia gubernamental de Kazajistán. La infiltración de los servidores rumanos se produjo aproximadamente un mes después. Los investigadores también observaron un pico de actividad en Kazajistán el 15 de enero de 2026, el día posterior al Año Nuevo Ortodoxo, una festividad informal celebrada en Rusia y algunos países vecinos. "El malware no celebra feriados, pero sus operadores sí", escribió la compañía.
ESET atribuyó el conjunto de herramientas a Turla con alto nivel de confianza, citando el uso simultáneo de otro componente públicamente vinculado al grupo y similitudes conceptuales con malware anterior de Turla. El grupo también ha protagonizado ataques contra objetivos ucranianos de alto perfil, y los investigadores señalaron que el 70% de los países que apuntó son Estados possoviéticos o poscomunistas de Europa del Este y Asia Central.
Rumania, blanco recurrente
Rumania es miembro de la OTAN en el flanco oriental y ha sido afectada por el desborde, tanto físico como digital, del conflicto entre Rusia y Occidente desde la invasión a gran escala de Ucrania. Entre los incidentes registrados figuran violaciones de su espacio aéreo, derribos de drones y el impacto de embarcaciones comerciales dentro de su zona económica exclusiva.
En el plano cibernético, en mayo de 2025 otro grupo APT ruso atacó fabricantes de armamento que apoyaban a Ucrania, incluidos algunos con presencia en Rumania. Poco después del inicio de la guerra, sitios web gubernamentales rumanos habían sufrido un ataque de denegación de servicio distribuido que dejó inaccesibles por varias horas páginas de autoridades públicas y del sector financiero.
