보안2026. 11. 13. 오후 12:49 UTC·2 분 소요

Turla의 Cereal 악성코드, 정부 이메일을 몰래 복사

ESET가 찾아낸 스파이웨어 Cereal은 루마니아와 카자흐스탄의 Exchange 서버에 숨어 NATO, EU와 오간 이메일을 조용히 복사했습니다.

Server room with an email envelope icon on a screen, symbolising government email being secretly copied by spyware. — 이미지: Spider's Web

공무원이 NATO 관계자에게 이메일을 보냅니다. 메일은 서버를 떠나 수신자에게 정상적으로 도착하고, 이상한 점은 보이지 않습니다. 하지만 서버 안에 숨은 프로그램이 내용을 살펴보고, 쓸 만한 문서라고 판단하면 러시아 스파이를 위한 사본을 만들어 둡니다. 보안업체 ESET 연구진이 발견한 방식입니다.

ESET에 따르면 배후에는 오래전부터 러시아 연방보안국(FSB)과 연결돼 온 해킹 조직 Turla가 있습니다. 이들은 루마니아와 카자흐스탄 정부 기관의 Microsoft Exchange 서버를 장악했습니다. 특히 눈에 띄는 점은 악성코드를 조종하는 데 피해자 자신의 인프라를 썼다는 것입니다.

Cereal 악성코드는 무엇인가

ESET는 이 도구 모음에 Cereal이라는 이름을 붙였습니다. 처음에는 카자흐스탄 정부 기관 서버에서 발견됐고, 2025년 12월 23일에는 루마니아 정부 기관에도 사용된 것으로 확인됐습니다. 루마니아는 NATO와 EU 회원국입니다.

핵심 모듈은 CerealBox입니다. Exchange에서 메일 흐름을 처리하는 프로세스 안에 숨기 때문에 눈에 띄는 새 서비스가 생기지 않습니다. 원래 메일도 그대로 수신자에게 전달됩니다. 모든 메일을 복사하는 것도 아닙니다. DOC, DOCX, PDF 첨부파일이 있는 메일만 골라 발신자, 수신자, 제목, 파일명을 확인하고, 조건에 맞는 것만 압축과 암호화를 거쳐 운영자가 가져갈 수 있게 준비합니다.

루마니아에서 발견된 설정은 NATO와 EU 기관 관련 주소와 주고받은 메일을 찾도록 돼 있었습니다. NATO나 유럽집행위원회의 서버가 뚫린 것은 아니며, 이들 기관과 소통하던 조직의 메일에 접근한 것입니다.

공격자는 왜 자체 서버가 필요 없었나

보통 악성코드는 공격자 서버와 통신하고, 이 연결이 들통나는 계기가 됩니다. 이번 CerealNeuron 모듈은 감염된 Exchange 서버에 머물며 특수하게 만든 웹 요청을 기다렸습니다. 겉보기에는 평범한 업무 메일 트래픽입니다.

ESET는 루마니아 기관명도, 탈취된 메일 내용도 공개하지 않았습니다. 유출된 데이터의 총량과 최초 침입 경로도 알 수 없습니다.

Turla는 적어도 2004년부터 활동했으며, 2023년 FBI의 Medusa 작전으로 스파이웨어 Snake가 무력화된 바 있습니다. ESET에 따르면 2022년 이후 이 조직이 노린 국가의 약 70%는 옛 소련 공화국이거나 역사적으로 소련과 관계가 깊은 유럽 국가였습니다.