文章总结： Turla是由俄罗斯FSB第16中心支持的国家级APT组织，自2004年起持续针对欧洲多国政府、外交、国防及高科技领域实施网络间谍活动。该组织使用自研恶意工具家族如Kazuar和Uroburos，结合零日漏洞、钓鱼攻击及卫星加密通信等高级手段，长期渗透法国等目标。报告建议加强针对此类高级持续性威胁的监测与防御。 综合评分： 84 文章分类： 威胁情报,恶意软件,漏洞分析,数据泄露,安全大事件

Turla，深耕欧洲二十多年的俄罗斯APT组织

原创

黑鸟 黑鸟

黑鸟

2026年7月27日 23:33 广东

在小说阅读器读本章

去阅读

2026 年 7 月 13 日，法国跨部门网络威胁分析协调机构 C4 发布权威预警报告 CERTFR-2026-CTI-004，正式联合欧盟对外事务与安全高级代表同步对外公开定性，长期针对法国及欧洲多国实施网络间谍活动的攻击体系 Turla，背后操盘主体是俄罗斯联邦安全局 FSB 第 16 中心。

这份报告完整梳理了该黑客组织自 2004 年延续至今的全套攻击手段、部署架构、针对法国多年的真实入侵案例，也是欧盟官方一次完整且详实的威胁溯源披露。

Turla 背后的官方力量：FSB 第 16 无线电电子侦察中心

报告明确 Turla 整套攻击行动由 FSB 第 16 中心主导，该机构另有军方编号 Unitémilitaire71330，全称通信无线电情报中心，核心任务分为电磁信号情报搜集 ROEM 与主动网络进攻两大板块，为完成全球范围情报窃密，它在俄罗斯全境部署十一座专属拦截站点，全部以军方单位编号区分。

分别是索契附近 03110 部队、克拉斯诺达尔边疆区捷姆留克周边 11380 部队、克里米亚阿卢什塔周边 28735 部队、萨拉托夫州巴拉绍夫附近 44231 部队、普斯科夫州普斯科夫周边 49911 部队、莫斯科州切霍夫附近 51952 部队、圣彼得堡红村周边 61240 部队、莫斯科南部 61608 部队、哈巴罗夫斯克边疆区哈巴罗夫斯克周边 70822 部队、符拉迪沃斯托克什科托沃周边 83417 部队、加里宁格勒州泽列诺格拉茨克周边 83521 部队。

各个站点天线朝向与地理位置直接对应目标区域划分，普斯科夫、红村、泽列诺格拉茨克三支单位主攻欧美方向，什科托沃与哈巴罗夫斯克站点重点覆盖亚洲区域。其中圣彼得堡西南红村周边的 61240 部队是针对法国的专属作战单元，所有针对法国的电磁侦察、网络渗透行动均由这支单位统筹执行。

61240 部队长期和俄罗斯本土多家技术企业深度合作，代表企业包括 AOAST、NPPGamma，这类企业会持续为 FSB 网络进攻行动提供工具开发、基础设施运维支撑，整套电磁拦截、远程数据窃取链路高度成熟，对法国及全欧洲关键利益形成持续性实质威胁。

Turla 攻击体系 MOA 运作二十年，多别名实为同一间谍团伙

#

MOA 全称 Modeopératoired’attaque 即攻击行动模式，指代一套长期稳定、持续迭代的战术技术流程 TTP、恶意代码与攻击基础设施组合，Turla 是这套体系最广为人知的代号，安全厂商还给出过多个别名 SecretBlizzard、VenomousBear、PensiveUrsa、Pacifier、Waterbug，法国 C4 机构确认所有代号对应的都是同一支国家级间谍行动力量。

Turla 至少从 2004 年开始全球活跃，核心目标是窃取各国政府、外交、国防、科研、高科技、教育、媒体、能源行业机构机密，同时监视关键领域核心人员个人信息，早在俄乌冲突 2022 年 2 月爆发前就持续针对北约、欧盟、乌克兰开展情报搜集，冲突爆发后相关间谍活动全面升级，通过渗透乌克兰及欧洲盟友政企机构，为俄方军事行动提供情报支撑。

过往全球知名攻击案例都归属 Turla 体系，2008 年美军军事网络遭入侵、2016 年瑞士军工企业 RUAG 数据泄露、2018 年德国政府内网被攻陷，全部是该团伙标志性行动。

1. 覆盖全平台的自研恶意工具家族

Turla 团队同时混用开源渗透工具与自主研发复杂恶意程序，开源工具以 Mimikatz、Metasploit 为主，自研木马溯源最早可追溯 Agent.BTZ、Uroburos，业内也直接称其 Turla、Snake，能够兼容 Windows、Linux、macOS 三大主流操作系统。攻击覆盖范围包含 Outlook、MicrosoftExchange 主流邮件软件，各类浏览器、行业业务应用、网站服务器，完整工具清单包含 Epic、ComRAT、Carbon、Mosquito、Penquin、Gazer、Crutch、TinyTurla、LightNeuron、Capibar，2016 年起 Kazuar 木马成为其核心载荷，持续迭代更新，2026 年的最新攻击活动仍在使用升级后的 Kazuar 程序。

2. 多样化初始入侵手段，零日漏洞常态化使用

Turla 黑客获取目标内网初始权限的手段丰富且具备极强针对性，第一种是定向钓鱼 hameconnagecible，第二种是水坑攻击 pointsd’eau，黑客会伪造合法软件安装包诱导目标下载，设备安装后恶意程序自动驻留。除钓鱼外团伙还会主动入侵网络设备、业务系统，大量挖掘并利用安全漏洞，甚至直接采购零日漏洞 jour-zéro 投入实战，多数攻击行动会将多个漏洞串联形成完整入侵链条，大幅提升攻陷内网的成功率。

3. 多层隐蔽攻击基础设施，卫星网络加密通信

从拿下初始权限到最终窃取数据外传，Turla 依靠多层基础设施隐藏自身痕迹规避检测，攻击者不会使用自有服务器，大量租用或劫持公开网络资源，比如 WordPress 这类主流建站系统搭建的网站、公有云服务器作为跳板节点。为保证远程控制、数据回传全程匿名，团伙大量借助卫星信道运维攻击平台，卫星链路用于命令控制 C&C 通信、批量外传窃取到的机密文件，内网沦陷设备还会搭建点对点 P2P 中继网络，多层跳转混淆溯源路径。

该组织还具备跨团伙工具复用能力，会劫持其他国家级威胁行动、黑产黑客的进攻资源，借用第三方恶意程序、跳板服务器扩大自身攻击覆盖范围，降低自身暴露风险。

法国多年受害记录：从国防部、外交部到司法高科技行业全覆盖

#

法国 C4 机构将 Turla 的受害对象分成两类，第一类是最终目标 victimesfinales，黑客入侵核心目的就是窃取这类机构涉密情报；第二类是中间跳板 victimesintermédiaires，攻击者随机入侵中小企业、社会组织、个人设备，把这些节点接入自身恶意网络，作为中转跳板间接攻击高价值核心目标，两类受害者从 2010 年至今持续出现。

历年法国本土重大入侵事件梳理

1. 2014 年：法国多个政府部门内网被 Uroburos 木马入侵，明确以情报窃取为唯一目的。
2. 2017 年至今：法国国防部 MinistèredesArmées 高层人员邮箱长期持续遭 Turla 团伙劫持，针对军方的监控从未中断，国防部下属所有单位均处在持续威胁范围内。
3. 2018 年两件关键入侵事件一是法国驻莫斯科大使馆外交部 Ministèredel’EuropeetdesAffairesÉtrangères 内网沦陷，黑客完成全网扫描并批量导出使馆内部文件，微软后续披露 2024 年起大量驻莫斯科外国使馆持续遭遇同 Turla 体系攻击，印证该团伙长期紧盯外交机构；二是法国本土头部科技企业多台终端植入 Uroburos 木马，这批设备全部被改造为攻击跳板，转发针对其他法国核心机构的网络流量。
4. 2019 年：法国司法部一台继续教育业务服务器被攻陷，黑客利用 Sharepoint 漏洞植入恶意程序，事件波及数千名公职人员账号信息存在泄露风险。
5. 2019 至 2025 年：法国各行各业大量中小企业、民间组织沦为跳板节点，持续被 Turla 团伙征用。
6. 2025 年：法国前沿先进技术研发机构监测到多组特征匹配 Turla 的恶意活动，相关涉密研发数据面临窃取风险。

Turla 作为运营超过二十年的国家级网络间谍体系，背后有完整官方情报机构、遍布多国的物理拦截站点、持续迭代的自研木马工具支撑，针对欧洲乃至全球的政军、外交、高科技领域的窃密行动不会短期停止。

More👇

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑鸟 黑鸟 黑鸟《Turla，深耕欧洲二十多年的俄罗斯APT组织》