Aurora-Ransomware nutzt Cursor-KI für Angriffe auf 10 Ziele

Die Aurora-Ransomware-Gruppe hat Cursor, einen KI-gestützten Programmierassistenten, eingesetzt, um Angriffe zu planen und manuelle Ausbeutung gegen zehn Zielorganisationen durchzuführen, so zwei separate Untersuchungen der Threat-Intelligence-Unternehmen CloudSEK und Gambit Security. CloudSEK erklärte, ein offenes Verzeichnis, das mit der russischsprachigen Gruppe in Verbindung steht, habe monatelange Aktivitäten der Betreiber preisgegeben und Angriffe gegen mehr als 20 Organisationen in neun Ländern zwischen April und Juli 2026 gezeigt. Vier dieser Opfer sind inzwischen auf der Datenleck-Seite von Aurora aufgetaucht. Das wiederhergestellte Material umfasste Shell-Verläufe, Toolkit-Dateien und den Ransomware-Encryptor selbst. Laut CloudSEK nutzte der Betreiber Cursor, einen agentischen Programmierassistenten, um Angriffe auf Russisch zu planen, wobei Commonwealth of Independent States (CIS)-Bereiche und Domains aus CIS-Ländern ausnahmslos ausgeschlossen wurden.

Öffentliche Details über Aurora tauchten erstmals Ende Mai 2026 auf. Das Sicherheitsunternehmen CYFIRMA hob Angriffe hervor, die in erster Linie auf Windows-Systeme abzielten, und bemerkte die kontinuierliche technische Weiterentwicklung der Gruppe durch schrittweise Updates und Funktionserweiterungen. Die Verfolgung durch Ransomware.Live listet 33 bekannte Opfer in den Vereinigten Staaten, Deutschland, den Niederlanden, Kanada und dem Vereinigten Königreich auf. Ein von Black Hills Information Security Anfang dieses Monats detaillierter Fall zeigte, wie der anfängliche Zugriff erreicht wurde: Angreifer setzten aggressives E-Mail-Bombardement ein, gefolgt von Telefonanrufen an Mitarbeiter, wobei sie sich als IT-Helpdesk-Mitarbeiter ausgaben, und überlisteten dann Personen, um Remote-Zugriff über ein Open-Source-Dienstprogramm namens Xray-core zu gewähren. Die Angriffskette bewegte sich dann seitwärts unter Verwendung von SMB, LDAP, WinRM, RDP und RPC. Die Betreiber erlangten hochprivilegierte Administratorkonten und missbrauchten sie, um Protokolle zu löschen, Microsoft Defender zu deaktivieren, sensible Daten zu sammeln und zu exfiltrieren und schließlich den Encryptor einzusetzen.

CloudSEK identifizierte sowohl Windows- als auch Linux-Versionen von Aurora, die in der Programmiersprache Zig geschrieben sind. Der wiederhergestellte Chat-Verlauf des Betreibers zeigte eine starke Nutzung von Cursor zur Planung verschiedener Angriffsphasen, einschließlich eines vollständigen Active Directory Certificate Services (AD CS)-Ausbeutungsplans, der auf Russisch verfasst war. Laut CloudSEK sind die beiden Encryptor-Binärdateien, eine Windows-Datei namens sap.exe und eine Linux/ESXi-Datei namens encrypt.out, statische Builds, die aus einer einzigen Zig-Codebasis kompiliert wurden, und nicht zwei separat geschriebene Programme. Die Windows-Binärdatei enthält sogar die Nutzungsbeispiele der Linux-Version in sich, ein Überbleibsel der gemeinsamen Nutzung eines einzigen Quellbaums über beide Plattformen hinweg. Die Windows-Variante ist auch darauf ausgelegt, die Systemwiederherstellung zu blockieren, indem sie Volumen-Schattenkopien löscht und die Systemwiederherstellung über die Windows-Registrierung deaktiviert. Die Linux- und ESXi-Variante versucht, jede virtuelle Maschine auf dem Host gewaltsam zu beenden, bevor sie mit der Verschlüsselung beginnt. Separat soll ein aus dem Aurora-Encryptor wiederhergestellter Schlüssel Zugang zu einer Lösegeldverhandlung zwischen dem Akteur und einem ungenannten Opfer sowie zu einem Cluster von vier Kryptowährungs-Wallets gegeben haben. Die Wallets zeigen Affiliate-Zahlungen zwischen 54 Prozent und 79 Prozent jedes Lösegelds, wobei der Rest an Administratoren geht; die genaue Aufteilung wird pro Opfer basierend auf der geforderten Lösegeldsumme und den Einnahmen des Opfers entschieden. Die Gelder werden später gewaschen und ausgezahlt.

Gambit Security veröffentlichte eigene Ergebnisse und berichtete, dass der Aurora-Betreiber Cursor Agent mit dem Claude Sonnet-Modell von Anthropic verwendete, um bei manueller Ausbeutung gegen 10 Ziele zwischen dem 8. April und dem 21. Mai 2026 zu helfen. In diesen Fällen erhielt der Agent gültige Anmeldeinformationen oder einen bestehenden Weg in die Opferorganisation und wurde dann mit verschiedenen Ausbeutungsaktivitäten beauftragt. Einige der an den Agenten ausgelagerten Aufgaben umfassten die Installation eines VPN-Clients oder Proxychains und die Verbindung zu einem Opfer mit gelieferten Anmeldeinformationen oder einem bestehenden SOCKS-Tunnel, das Scannen interner Subnetze mit Nmap oder NetExec und die Aufzählung der Domäne mit dem BloodHound-Collector von NetExec, um zu melden, welche Privilegien ein Benutzer besaß. Der Agent versuchte auch NTLM-Relay-Angriffe, indem er die Authentifizierung mit PetitPotam, Coerce Plus und PrinterBug erzwang und dann Impackets ntlmrelayx verwendete, um das Ergebnis weiterzuleiten. Er führte auch Zertifikatsangriffe mit Certipy durch. Gambit Security stellte fest, dass die meisten Agentenbefehle beim ersten Versuch ihr Ziel nicht erreichten, was zu mehreren Verfeinerungen und Änderungen an Befehlen und Skripten führte; einige waren schließlich erfolgreich, während andere fehlschlugen und nur einen Bericht an den Angreifer zurückgaben. Bei Angriffen, die die Linux-Variante betrafen, verwendeten die Betreiber ein Python-Skript namens esxi_finder.py, um nach VMware ESXi-Hypervisoren und vCenter-Servern innerhalb eines Opfernetzwerks zu suchen. Reuters berichtete die Namen mehrerer betroffener Organisationen: Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, ein argentinischer Pharmagroßhändler und ein italienischer Hersteller.

Die Aurora-Operationen sind ein weiteres Beispiel für kriminelle Gruppen, die kommerzielle KI-Tools trotz der von den Modellanbietern hinzugefügten Schutzmaßnahmen nutzen. Derselbe Forschungszyklus brachte auch ein neues KI-gestütztes Toolkit namens Gryxa hervor. Laut ReliaQuest gehört Gryxa zu einem finanziell motivierten Akteur, der eine Initial-Access-Operation betreibt, die auf 324 Hosts abzielte. ReliaQuest sagte, Gryxa sei der erste Fall, den es beobachtet habe, bei dem KI verwendet wurde, um eine gesamte Operation aufzubauen, vom Toolkit selbst bis zur Konsole, die zu ihrer Ausführung verwendet wird. Gryxa verwandelt legitime Remote-Monitoring-and-Management (RMM)-Software in verdeckten Zugriff, hält diesen Zugriff durch mehrere unabhängige Neustartmechanismen am Leben und stiehlt Anmeldeinformationen, die in Chromium-basierten Webbrowsern gespeichert sind. Wenn die Verbindung zum Akteur unterbrochen wird, eskaliert Gryxa gegen den Endpunktschutz, indem es den Sicherheitsagenten deaktiviert oder versucht, ihn zu deinstallieren. Diese Kombination gibt dem Akteur dauerhaften Zugriff auf einen Host und ermöglicht den Diebstahl von Kryptowährungs-Wallets. Die Forscher glauben, dass der Entwickler einen KI-Programmieragenten jailbreakte, indem er den gesamten Entwicklungsprozess als autorisierte interne Bereitstellung darstellte. Gryxa wird wahrscheinlich über Phishing-E-Mails verbreitet. Einmal ausgeführt, richtet es Persistenz mit geplanten Aufgaben ein und kann die app-gebundenen Verschlüsselungsschutzmaßnahmen (ABE) von Chromium umgehen, um gespeicherte Browser-Anmeldeinformationen zu stehlen; die gesammelten Anmeldeinformationen werden über Telegram übertragen. Ein ungewöhnliches Verhalten ist, dass Gryxa Wiederherstellungsbemühungen aufzeichnet und sie an den Angreifer zurückmeldet. Nachdem das sichtbare RMM-Implantat entfernt wurde, sammelt eine versteckte Komponente Windows-Protokolle und Host-Artefakte und lädt sie auf eine vom Angreifer kontrollierte Infrastruktur hoch. Wenn der Relay des Akteurs unerreichbar wird, versucht Gryxa, Endpunktschutzagenten wie Microsoft Defender innerhalb von etwa 10 bis 13 Minuten zu deaktivieren und zu deinstallieren, und aktiviert Defender dann wieder, sobald der Relay wieder erreichbar ist. ReliaQuest sagte, die Gryxa-Komponente habe nur Daten gesammelt und hochgeladen, ohne sie zu untersuchen, sodass der Akteur Schlussfolgerungen darüber ziehen musste, welches Tool die Entfernung durchgeführt hat, welches Konto es ausgeführt hat und in welcher Reihenfolge. Die Konsole des Angreifers enthält einen fertigen Job namens collect-forensics, was darauf hindeutet, dass dies eine Routinefähigkeit und keine Reaktion auf einen einzelnen Vorfall ist. Gryxa rotiert auch seine Protokolldateien, wenn sie 200 KB überschreiten, sodass die jüngste Aktivität für einen Responder, der schnell handelt, erhalten bleibt.

Für Unternehmen, Website-Besitzer und IT-Teams unterstreichen die Ergebnisse, dass KI-Tools jetzt den gesamten Ransomware-Workflow unterstützen, vom anfänglichen Zugriff über laterale Bewegung bis zur Verschlüsselung. Verteidiger sollten unerwartete Remote-Zugriffsanfragen mit äußerster Vorsicht behandeln, Multi-Faktor-Authentifizierung erzwingen, den Endpunktschutz aktiv und aktuell halten und Offline-Backups pflegen, die Ransomware nicht erreichen kann. Für Organisationen, die ihre eigene Infrastruktur gegen diese Methoden überprüfen und härten müssen, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung.