Aurora-Ransomware nutzte Cursor AI zur Planung von Netzwerkangriffen

Die Betreiber der Aurora-Ransomware haben Cursor, einen KI-gestützten Coding-Assistenten, genutzt, um Eindringlinge in Opfernetzwerke zu planen und durchzuführen, so die Ergebnisse von CloudSEK und Gambit Security. Die beiden Unternehmen führten unabhängige Analysen der exponierten Infrastruktur der russischsprachigen Cyberkriminalitätsgruppe durch, und ihre Arbeit deckte deren Toolkit, ihre Befehlshistorie und ihren Encryptor auf, das Programm, das die Dateien eines Opfers verschlüsselt. Die Gruppe wird auch als Aur0ra verfolgt.

CloudSEK erklärte, das offengelegte offene Verzeichnis habe „monatelange Aktivitäten“ preisgegeben, die sich zwischen April und Juli 2026 gegen mehr als 20 Organisationen in neun Ländern richteten. Vier dieser Opfer wurden seitdem auf der Datenleckseite der Gruppe aufgeführt, der öffentlichen Seite, auf der Ransomware-Banden gestohlenes Material veröffentlichen, um Opfer zur Zahlung zu drängen. CloudSEK merkte an, dass der Betreiber Cursor nutzte, um Angriffe auf Russisch zu planen, wobei CIS-Bereiche und Domains aus CIS-Ländern ausnahmslos ausgeschlossen wurden. CIS steht für Commonwealth of Independent States, eine Gruppe von Ländern in Osteuropa und Zentralasien.

Details über Aurora tauchten erstmals Ende Mai 2026 auf, als CYFIRMA Angriffe hervorhob, die hauptsächlich auf Windows-Systeme abzielten, sowie die kontinuierliche technische Weiterentwicklung der Gruppe durch inkrementelle Updates und neue Funktionen. Daten von Ransomware.Live listen 33 Opfer in den Vereinigten Staaten, Deutschland, den Niederlanden, Kanada und dem Vereinigten Königreich auf.

In einem von Black Hills Information Security Anfang dieses Monats detailliert beschriebenen Fall erlangten die Angreifer ihren ersten Fuß durch aggressives E-Mail-Bombing und riefen dann Mitarbeiter an, während sie sich als IT-Helpdesk-Mitarbeiter ausgaben, die Hilfe bei der Flut von Nachrichten anboten. Stattdessen nutzten sie ein Open-Source-Dienstprogramm namens Xray-core, um Fernzugriff herzustellen. Von dort aus bewegte sich die Angriffskette seitwärts unter Verwendung von SMB, LDAP, WinRM, RDP und RPC, den Standard-Windows-Mechanismen zum Teilen von Dateien, Nachschlagen von Verzeichnisinformationen, Ausführen von Befehlen auf anderen Maschinen, Übernehmen eines Remotedesktops und Aufrufen von Diensten auf einem anderen System. Die Eindringlinge erlangten hochprivilegierte Administratorkonten und missbrauchten sie, um der Entdeckung zu entgehen, indem sie Protokolle löschten und Microsoft Defender deaktivierten, bevor sie sensible Daten sammelten und exfiltrierten und den Encryptor einsetzten.

CloudSEK erklärte, es habe sowohl Windows- als auch Linux-Versionen von Aurora identifiziert, die in Zig geschrieben sind, einer Programmiersprache. Wiederhergestellte Chatverläufe zeigen eine starke Nutzung von Cursor zur Planung verschiedener Phasen des Angriffs, einschließlich eines vollständigen Ausnutzungsplans für Active Directory Certificate Services (AD CS), das Microsoft-System, das digitale Zertifikate innerhalb eines Unternehmensnetzwerks ausstellt, geschrieben auf Russisch. CloudSEK merkte an, dass beide Encryptor-Binärdateien, die Windows sap.exe und die Linux/ESXi encrypt.out, statische Builds aus einer einzigen Zig-Codebasis sind, die für verschiedene Ziele kompiliert wurden, anstatt zweimal geschrieben zu werden. Die Windows-Binärdatei enthält sogar die Nutzungsbeispiele der Linux-Build in sich, ein Überbleibsel der gemeinsamen Nutzung eines Quellbaums über beide Plattformen, so das Unternehmen.

Die Windows-Variante ist auch darauf ausgelegt, die Systemwiederherstellung zu behindern, indem sie Volumeschattenkopien löscht, die automatischen Snapshots, die Windows speichert, damit Dateien wiederhergestellt werden können, und indem sie die Systemwiederherstellung direkt über die Registry deaktiviert, die Datenbank der Windows-Einstellungen. Die Linux- und ESXi-Variante versucht, jede einzelne virtuelle Maschine auf dem Host zwangsweise zu beenden, bevor die Verschlüsselung beginnt.

Ein aus dem Aurora-Encryptor wiederhergestellter Schlüssel soll Zugang zu einer Lösegeldverhandlung zwischen dem Bedrohungsakteur und einem nicht näher bezeichneten Opfer gewährt haben sowie zu einem Cluster von vier Kryptowährungs-Wallets, die unterschiedliche Aufteilungen zwischen Affiliates und den Hauptbetreibern zeigen. Affiliates erhielten zwischen 54 % und 79 %, der Rest ging an die Administratoren. Dies deutet darauf hin, dass der Affiliate-Anteil am Lösegeld pro Opfer entschieden wird und von der geforderten Summe und den Umsatzzahlen des Opfers abhängt, so die Ergebnisse. Die illegalen Gelder werden dann gewaschen und ausgezahlt.

Gambit Security, das eigene Einblicke in die Aktivität veröffentlichte, erklärte, es habe beobachtet, wie der Aurora-Betreiber Cursor Agent, der Anthropics Claude Sonnet-Modell ausführt, nutzte, um bei der praktischen Ausnutzung gegen 10 Ziele zwischen dem 8. April und dem 21. Mai 2026 zu helfen. „In diesen Fällen erhielt der Agent Anmeldeinformationen oder einen bestehenden Weg in die Opferorganisation. Dann wurde er mit verschiedenen Ausnutzungsaktivitäten beauftragt“, sagte Eyal Sela, Director of Threat Intelligence bei Gambit Security.

Zu den dem KI-Agenten übertragenen Aufgaben gehörten die Installation eines VPN-Clients oder von Proxychains (ein Tool, das den Datenverkehr über eine Kette von Zwischenservern leitet) und die Verbindung zu einem Opfer mit gelieferten Anmeldeinformationen oder einem bestehenden Tunnel; das Scannen interner Subnetze nach Hosts mit Nmap oder NetExec; das Aufzählen der Domäne, um zu melden, welche Privilegien ein gelieferter Benutzer besitzt, unter Verwendung von NetExecs BloodHound-Collector; der Versuch von NTLM-Relay-Angriffen, einer Technik, die einen Windows-Authentifizierungsaustausch abfängt und wiederverwendet, indem die Authentifizierung mit PetitPotam, Coerce Plus und PrinterBug erzwungen und das Ergebnis mit Impacket ntlmrelayx weitergeleitet wird; und das Ausführen von Zertifikatsangriffen mit Certipy. In einigen Fällen bat der Angreifer einfach um ein Ziel, wie z. B. ihm zu sagen, welche Rechte ein Benutzer hatte, während er in anderen Fällen das zu verwendende Tool nannte oder dem Agenten sagte, er solle einem zuvor generierten Angriffsplan folgen. Manchmal gab der Agent eine Liste möglicher nächster Schritte zurück und der Angreifer antwortete nur mit einer Nummer.

Gambit erklärte, dass die Mehrheit der Befehle beim ersten Versuch das angegebene Ziel nicht erreichte, was zu mehreren Verfeinerungen und Änderungen der für jede Aufgabe verwendeten Befehle und Skripte führte. Einige waren schließlich erfolgreich, während andere fehlschlugen und nur einen Bericht über die Versuche an den Angreifer zurückgaben. Angriffe mit der Linux-Version verwendeten auch ein Python-Skript namens esxi_finder.py, um nach VMware ESXi-Hypervisoren und vCenter-Servern innerhalb eines Opfernetzwerks zu suchen.

Die Namen der betroffenen Unternehmen wurden in den technischen Berichten nicht bekannt gegeben, aber Reuters sagte, sie umfassen Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, einen argentinischen Pharmagroßhändler und einen italienischen Hersteller.

Aurora ist nicht der einzige aktuelle Fall, in dem kriminelle Gruppen auf kommerzielle KI-Tools zurückgreifen. ReliaQuest erklärte, es habe ein neues KI-gestütztes Toolkit namens Gryxa entdeckt, das von einem finanziell motivierten Bedrohungsakteur verwendet wird, um eine Erstzugriffsoperation gegen 324 Hosts durchzuführen. ReliaQuest beschrieb Gryxa als den ersten Fall, den es beobachtet hat, bei dem KI genutzt wurde, um eine gesamte Operation aufzubauen, vom Toolkit selbst bis zur Konsole, von der aus es ausgeführt wird.

Laut ReliaQuest verwandelt Gryxa legitime Remote-Monitoring-and-Management-Software (RMM) in verdeckten Zugriff, hält diesen Zugriff durch mehrere Neustartmechanismen am Leben, die unabhängig voneinander arbeiten, und stiehlt dann in Chromium-basierten Browsern gespeicherte Anmeldeinformationen. Es eskaliert auch gegen Endpoint Protection, wenn die Verbindung zum Angreifer unterbrochen wird, indem es den Sicherheitsagenten deaktiviert oder versucht, ihn zu deinstallieren. Zusammen geben diese Fähigkeiten dem Akteur dauerhaften Zugriff auf einen Host und ermöglichen ihm, Kryptowährungs-Wallets zu stehlen. Beweise deuten darauf hin, dass der Bedrohungsakteur hinter der Operation einen KI-Coding-Agenten jailbreakte, indem er den gesamten Entwicklungsprozess als „autorisierten internen Einsatz“ ausgab, und Gryxa wird wahrscheinlich über Phishing-E-Mails geliefert.

Sobald es auf einer kompromittierten Maschine läuft, richtet Gryxa Persistenz mithilfe geplanter Aufgaben ein und kann die app-gebundene Verschlüsselung von Chromium umgehen, einen Schutz, der gespeicherte Browserdaten an die Anwendung bindet, die sie gespeichert hat, um Passwörter aus Webbrowsern zu stehlen und die gesammelten Anmeldeinformationen über Telegram zu senden. Seine vielleicht ungewöhnlichste Funktion ist, dass es Wiederherstellungsbemühungen aufzeichnet und zurückmeldet: Nachdem der sichtbare RMM-Implantat entfernt wurde, sammelt eine versteckte Malware-Komponente Windows-Protokolle und Host-Artefakte und lädt sie auf eine vom Angreifer kontrollierte Infrastruktur hoch. Wenn der Relay des Angreifers nicht erreichbar wird, versucht das Toolkit, Endpoint-Protection-Agenten wie Microsoft Defender innerhalb von etwa 10 bis 13 Minuten zu deaktivieren und zu deinstallieren, und reaktiviert Defender, sobald der Relay wieder erreichbar ist. ReliaQuest erklärte, dass diese Komponente nur sammelte und hochlud und nicht untersuchte, was sie nahm, sodass der Akteur Schlussfolgerungen darüber ziehen muss, welches Tool eine Entfernung durchführte, welches Konto es ausführte und in welcher Reihenfolge. Die Konsole des Angreifers enthält einen fertigen Job namens collect-forensics, den ReliaQuest als Routinefähigkeit und nicht als Reaktion auf einen Vorfall interpretierte, und Gryxa rotiert seine Protokolldateien, sobald sie 200 KB überschreiten, wodurch aktuelle Aktivitäten für einen Responder verfügbar bleiben, der schnell handelt.

Für Unternehmen und IT-Teams, die Websites und interne Dienste betreiben, unterstreichen die Berichte bekannte Prioritäten: starke, einzigartige Anmeldeinformationen, schnelles Patchen und Überwachung sind noch wichtiger, wenn ein Angreifer die Aufklärung automatisieren kann. Jede von Gambit Security beschriebene KI-gestützte Intrusion hing immer noch von gestohlenen Anmeldeinformationen oder einem bestehenden Fuß in der Opferorganisation ab. Unternehmen, die externe Hilfe bei der Härtung ihrer Server und Netzwerke wünschen, können die sicherheitsorientierten IT-, Infrastruktur- und Beratungsdienste von AEU-I unter aeu-i.com prüfen. Der weitere Punkt aus beiden Berichten ist, dass die umfunktionierten Tools gewöhnliche kommerzielle Software und keine maßgeschneiderte Malware sind, was die Hürde für weniger qualifizierte Banden senkt.