Wie der SRI am Mittwoch mitteilte, nutzten die Angreifer Schwachstellen in Microsoft-Systemen aus. Rumänische Sicherheitsspezialisten hätten den Angriff jedoch eingedämmt und die betroffenen Systeme wiederhergestellt. „Ein Abfluss sensibler Daten wurde nicht festgestellt“, erklärte der Geheimdienst. Der betroffene E-Mail-Dienst laufe wieder. Welche Institution angegriffen wurde und wie sich die Hacker ursprünglich Zugang verschafften, ließ der SRI offen.

Das slowakische Sicherheitsunternehmen ESET hatte zuvor beschrieben, dass Turla mit einem bislang unbekannten Werkzeugsatz E-Mail-Server von Regierungsstellen in Rumänien und Kasachstan kompromittiert habe. Die Schadsoftware mit dem Namen Cereal erlaubte es den Angreifern, den E-Mail-Verkehr unbemerkt zu überwachen, ausgewählte Nachrichten zu sammeln und sich dauerhaft auf kompromittierten Microsoft-Exchange-Servern festzusetzen, ohne entdeckt zu werden. In Rumänien war Cereal laut ESET gezielt darauf konfiguriert, E-Mails an oder von NATO- und EU-Institutionen abzufangen.

Der SRI hat nach eigenen Angaben die zuständigen rumänischen Behörden unterrichtet und Informationen mit europäischen Nachrichtendiensten sowie Partnern in NATO und EU geteilt. Zudem untersuchen die rumänischen Behörden weitere Cyberoperationen mit möglichem Russland-Bezug, die mit dem Vorfall zusammenhängen könnten.

Turla, auch bekannt als Secret Blizzard und Venomous Bear, ist seit mehr als zwei Jahrzehnten aktiv und gilt als eine der etabliertesten russischen Spionagegruppen. Sie hatte es in der Vergangenheit auf Regierungsbehörden, diplomatische Vertretungen und Verteidigungsorganisationen in Europa, Zentralasien und dem Nahen Osten abgesehen.

Rumänien, Mitglied von NATO und EU mit Grenzen zur Ukraine und zu Moldau, warnt immer wieder vor russischen Cyberangriffen und anderen hybriden Bedrohungen. Das Land meldete außerdem Vorfälle, bei denen russische Drohnen während der Angriffe auf die Ukraine in seinen Luftraum eindrangen oder sich ihm näherten. Im Juli legte ein Cyberangriff das nationale Grundbuchsystem lahm; die zuständige Behörde sprach vom schwersten technischen Vorfall ihrer Geschichte, kritische digitale Dienste fielen aus. Bereits zu Jahresbeginn hatte der damalige Verteidigungsminister gewarnt, dass Regierungsstellen täglich Tausende Angriffsversuche abwehren müssten, von denen viele mutmaßlich aus Russland stammten.