12 листопада НАТО розіслало учасникам своєї флагманської конференції оборонної промисловості NATO Edge 26 у Туреччині лист, у якому радило користуватися російським застосунком таксі Yandex Go, а згодом відкликало цю пораду. Рекомендацію прибрали після того, як один з учасників попередив організаторів: сервіс може відкрити російській розвідці, де перебувають і як пересуваються представники Альянсу та оборонних компаній. Про інцидент повідомило видання The Record (Recorded Future News).

У листі організатори попередили, що місць для паркування біля майданчика в Ізмірі на західному узбережжі Туреччини буде обмаль, і як альтернативу запропонували викликати таксі через Yandex Go — попри те що побоювання щодо доступу кремля до даних цього застосунку лунають уже кілька років. Конференція має зібрати понад 2000 учасників — представників структур НАТО, урядів країн-союзниць, оборонної промисловості та наукової спільноти.

«Цього листа взагалі не мали надсилати»

«Рекомендувати Yandex людям, які їдуть на найбільшу галузеву конференцію НАТО, — серйозна помилка», — заявив Ерік Курсетьєрде (Erik Kursetgjerde), учасник заходу й докторант Inland Norway University of Applied Sciences, який досліджує критичну цифрову інфраструктуру. Саме він звернув увагу організаторів на ризик.

«Yandex належить росіянам, а російське законодавство вже дає ФСБ цілодобовий доступ до даних його служби таксі», — пояснив дослідник.

Посадовець НАТО в коментарі The Record визнав, що команда, яка відповідає за NATO Edge 26, через недогляд розіслала учасникам лист із рекомендацією Yandex Go, і запевнив, що помилку виправили впродовж години. Утім, листування, з яким ознайомилося видання, свідчить: виправлення надійшло лише через дві з лишком години.

Окремо представник НАТО пояснив Курсетьєрде, що після запитань щодо обробки даних і технологічної залежності Альянс розіслав офіційне виправлення та вилучив Yandex Go з переліку рекомендованих варіантів транспорту.

Дослідник віддав належне організаторам за швидку реакцію, але наголосив, що такого листа взагалі не мали надсилати.

Де зупиняються співробітники НАТО й постачальники оборонної продукції і як вони пересуваються — це саме те, що хоче знати противник

Російський власник і російська інфраструктура

У Туреччині Yandex Go працює через Yandex Türkiye — дочірню компанію російської технологічної корпорації Yandex. Її часто називають «російським Google», адже вона володіє найбільшою пошуковою системою в росії. На запитання The Record, де зберігаються дані про поїздки турецьких користувачів, у Yandex Türkiye оперативно не відповіли.

Залежність від російської інфраструктури вже давалася взнаки. У жовтні українські дрони уразили три дата-центри Yandex у росії, що порушило роботу низки російських цифрових сервісів, а заразом і Yandex Go в Туреччині. Як повідомляв Euronews, після ударів водії, які працюють через застосунок, кілька днів не могли отримати зароблені гроші.

ФСБ і дані про поїздки

Побоювання, що і російська, і міжнародні версії застосунку можуть відкривати користувачів для стеження з боку російської держави, посилилися після початку повномасштабного вторгнення в Україну в лютому 2022 року. У грудні того ж року в росії ухвалили закон, який надає ФСБ постійний доступ до баз даних сервісів замовлення таксі. Закон набув чинності у вересні 2023 року.

У серпні 2023 року незалежне російське видання Meduza, посилаючись на джерела в компанії та внутрішнє листування, повідомило, що Yandex зберігає дані про поїздки своїх закордонних сервісів у росії й не відокремлює їх від даних про поїздки всередині країни. Це потенційно робить такі дані доступними для ФСБ. У Yandex ці відомості заперечили: мовляв, отримати записи користувачів можуть лише правоохоронні органи країни, де відбулася поїздка.

Європа вже обмежує сервіси Yandex

Кілька європейських країн уже вжили заходів. У березні 2022 року Латвія анулювала реєстрацію оператора Yandex Taxi B.V. і заблокувала Yandex Go, а у квітні Естонія заборонила компанії надавати послуги таксі в межах національних санкцій. Обидві країни послалися на загрози національній безпеці.

У травні 2026 року нідерландський регулятор у сфері захисту персональних даних Autoriteit Persoonsgegevens оштрафував на 100 млн євро компанію MLU — нідерландського оператора Yango, міжнародного сервісу таксі Yandex. Причина — передача даних користувачів із Норвегії та Фінляндії до росії без належних гарантій захисту. За висновками регулятора, на російських серверах зберігалися, зокрема, скани водійських посвідчень, домашні адреси та точні дані про геолокацію пасажирів і водіїв. Компанія заявила, що оскаржуватиме рішення.

В Україні сервіси Yandex заблоковані ще з травня 2017 року за рішенням РНБО про санкції проти низки російських ІТ-компаній.

«Повномасштабна війна в Європі триває вже майже пʼять років, і розпочала її та сама держава, чия спецслужба має доступ до таких даних. Сьогодні подібні недогляди просто неприпустимі — і вони можуть мати серйозні наслідки», — підсумував Курсетьєрде.

Ця стаття НАТО порадило учасникам оборонної конференції російський Yandex Go — і за дві години відкликало рекомендацію раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Дослідники словацької компанії ESET виявили раніше не задокументований набір шкідливих інструментів Cereal, який вбудовується в поштові сервери Microsoft Exchange і непомітно відбирає листи, що проходять через них. Інструментарій знайшли в державних установах Казахстану та Румунії; в румунській установі його налаштували на пошук листів, надісланих на адреси НАТО та Європейського Союзу або отриманих від них. ESET з високим ступенем упевненості повʼязує Cereal з російським APT-угрупованням Turla, яке, за поширеною оцінкою, входить до структури ФСБ.

На скомпрометованому сервері Exchange найцікавіше — не завжди лист, що надходить до скриньки користувача. Десь у національній урядовій установі посадовець надсилає лист колезі з міжнародного військового альянсу. Повідомлення виходить через сервер Microsoft Exchange саме так, як має, і нічого не викликає підозр. Але ще до того, як лист залишить будівлю, фрагмент коду непомітно перевіряє його, вирішує, що він становить інтерес, і відкладає копію для сторонніх очей, тоді як оригінал продовжує свій шлях

Дві жертви та політичний контекст

Як розповідають у ESET, інструментарій уперше знайшли 28 листопада 2025 року на сервері Exchange державної установи Казахстану. Після доналаштування детектування той самий набір виявили в румунській державній організації, скомпрометованій 23 грудня 2025 року. Як саме зловмисники отримали первинний доступ до серверів, у публікації ESET не повідомляється.

Вибір цілей вписується у звичну географію Turla: за даними телеметрії ESET, близько 70% країн, які угруповання атакувало з 2022 року, — це колишні радянські республіки або європейські держави, що свого часу були тісно повʼязані з СРСР.

Дослідники вказують і на політичні передумови. Від початку 2025 року Румунія фіксувала кілька випадків падіння російських дронів поблизу свого кордону або на власній території; румунська влада реагувала різко й закликала до місії НАТО в Чорноморському регіоні. Казахстан, за повідомленнями, з січня 2026 року почав депортувати частину росіян і критиків режиму, які знайшли там притулок після повномасштабного вторгнення росії в Україну. На думку ESET, доступ до казахстанської державної установи міг дати операторам уявлення про російських дисидентів, відомих місцевій владі, але ще не внесених до списків на депортацію.

Ще одна деталь: пік активності в Казахстані припав на 15 січня 2026 року — наступний день після Старого Нового року, який досі неофіційно відзначають у росії та деяких сусідніх країнах. Шкідливе ПЗ свят не святкує, а от його оператори — цілком, зауважують дослідники.

Сервер жертви замість командного центру

Головна особливість Cereal — відсутність зовнішньої інфраструктури управління (C&C). Більшість бекдорів періодично звертаються до серверів операторів і залишають сліди: домени, IP-адреси, хостинг-провайдерів, за якими їх виявляють і блокують. Основний бекдор інструментарію, CerealNeuron, натомість пасивно чекає вхідних запитів на самому скомпрометованому сервері Exchange. Запити надходять на адреси, що імітують звичайний трафік Outlook Web Access, Autodiscover та ActiveSync, — саме той трафік, який захисники найменше схильні блокувати. Якщо запит не проходить перевірку, бекдор перенаправляє клієнта на правдоподібну сторінку помилки Exchange.

Через це ESET не вдалося встановити навіть IP-адреси, з яких працювали оператори. Для резервного доступу передбачено варіант CerealHermit без мережевих функцій: він читає зашифровані команди з файлів на диску.

Кожну команду оператори доставляють як окрему невелику скомпільовану .NET-програму: вивантаження поштових скриньок через Exchange Web Services, запити до Active Directory, WMI-запити, витягування секретів LSA (облікових даних, які Windows зберігає локально), робота з файлами. Велика кількість майже однакових бінарних файлів, на думку дослідників, свідчить про внутрішній фреймворк, що автоматизує компіляцію та пакування команд.

Як CerealBox відбирає листи

Модуль збору пошти CerealBox впроваджується безпосередньо в процес EdgeTransport.exe, який обробляє потік пошти в Exchange. Turla й раніше зловживала транспортними агентами — легітимною функцією Exchange для фільтрації спаму та подібних завдань, — проте встановлені агенти залишають сліди в конфігурації сервера. CerealBox діє інакше: не реєструє власного агента, а обгортає обробники вже завантажених агентів у памʼяті. Пошта ходить як зазвичай, а в налаштуваннях Exchange не зʼявляється нічого нового. За даними ESET, такої техніки раніше не фіксували в жодному сімействі шкідливого ПЗ.

CerealBox відбирає листи з вкладеннями .doc, .docx або .pdf, які відповідають заданим спискам відправників, отримувачів, фрагментів теми чи назв файлів. Відібрані повідомлення стискаються, шифруються й зберігаються на диску, після чого оператори вивантажують і видаляють їх командами через CerealNeuron.

.NET-трюки, рідкісні навіть для APT

Назва інструментарію походить від серіалізації — техніки пакування даних і коду для передавання, на якій тримаються всі компоненти. Лише один із них, CerealLoader, записується на диск як розпізнаваний .NET-файл; решта доставляється в зашифрованих контейнерах і виконується в памʼяті.

CerealLoader використовує маловідому функцію специфікації .NET — VTable Fixups, — щоб запустити машинний код ще до того, як середовище виконання .NET почне обробляти звичайні інструкції. Аналітик, який дивиться лише на .NET-частину, бачить код, що нічого не робить, хоча корисне навантаження вже спрацювало. Завантажувач маскувався під системні бібліотеки в папці C:\Windows\System32\wbem\, звідки його автоматично підвантажувала служба WMI. Ще один прийом — підміна файлів у кеші попередньо скомпільованих бібліотек .NET: отримавши шкідливу версію замість справжньої, Exchange спершу виконував код зловмисників, а потім непомітно повертався до легітимної бібліотеки.

Поєднання цих технік робить Cereal досить складним порівняно з більшістю APT-кампаній, які останнім часом досліджувала ESET.

Чому це стосується України

Turla, відоме також як Snake, — одне з найдавніших угруповань кібершпигунства: воно діє щонайменше з 2004 року й атакує уряди, дипломатичні місії та оборонні організації, передусім у Європі, Центральній Азії та на Близькому Сході. Британський NCSC повʼязує його з 16-м центром ФСБ — головним підрозділом радіоелектронної розвідки.

У вересні 2025 року ESET задокументувала перші відомі випадки співпраці Turla з угрупованням Gamaredon, яке СБУ повʼязує з 18-м центром ФСБ в окупованому Криму. Інструменти Gamaredon використовували, щоб розгортати й перезапускати бекдор Turla Kazuar на компʼютерах в Україні. За даними ESET, обидва угруповання останнім часом зосереджувалися на українському оборонному секторі.

ESET оприлюднила індикатори компрометації в репозиторії на GitHub та в технічному звіті — їх варто звірити адміністраторам локальних серверів Exchange. «Для Turla сервери Exchange — не просто поштові сервери, а довговічні точки збору даних, внутрішні вузли виконання команд і зручне середовище для приховування складних .NET-технік», — підсумовують дослідники.

Ця стаття Повʼязане з ФСБ угруповання Turla перехоплювало урядове листування з НАТО та ЄС через сервери Microsoft Exchange раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня