Il ransomware Aurora usa l'IA Cursor per attaccare 10 obiettivi

Il gruppo ransomware Aurora ha usato Cursor, un assistente di programmazione basato sull'IA, per pianificare attacchi ed eseguire sfruttamento manuale contro dieci organizzazioni obiettivo, secondo indagini separate pubblicate dalle società di threat intelligence CloudSEK e Gambit Security. CloudSEK ha dichiarato che una directory aperta esposta collegata al gruppo di lingua russa ha fatto trapelare mesi di attività degli operatori, mostrando attacchi contro più di 20 organizzazioni in nove paesi tra aprile e luglio 2026. Quattro di quelle vittime sono poi comparse sul sito di leak di dati di Aurora. Il materiale recuperato includeva la cronologia della shell, file del toolkit e lo stesso encryptor del ransomware. Secondo CloudSEK, l'operatore ha usato Cursor, un assistente di programmazione agentico, per pianificare attacchi in russo escludendo senza eccezioni gli intervalli della Comunità degli Stati Indipendenti (CSI) e i domini dei paesi della CSI.

I dettagli pubblici su Aurora sono emersi per la prima volta alla fine di maggio 2026. La società di sicurezza CYFIRMA ha evidenziato attacchi che prendevano di mira principalmente sistemi Windows e ha notato il continuo sviluppo tecnico del gruppo attraverso aggiornamenti incrementali ed espansione delle funzionalità. Il monitoraggio di Ransomware.Live elenca 33 vittime note situate negli Stati Uniti, Germania, Paesi Bassi, Canada e Regno Unito. Un caso dettagliato da Black Hills Information Security all'inizio di questo mese ha mostrato come è stato ottenuto l'accesso iniziale: gli attaccanti hanno usato un aggressivo bombardamento di email seguito da telefonate ai dipendenti fingendosi personale dell'help desk IT, poi hanno indotto le persone a concedere accesso remoto tramite un'utilità open source chiamata Xray-core. La catena di attacco si è poi mossa lateralmente usando SMB, LDAP, WinRM, RDP e RPC. Gli operatori hanno ottenuto account amministratore con privilegi elevati e li hanno abusati per cancellare i log, disabilitare Microsoft Defender, raccogliere ed esfiltrare dati sensibili e infine distribuire l'encryptor.

CloudSEK ha identificato versioni sia Windows che Linux di Aurora scritte nel linguaggio di programmazione Zig. La cronologia chat recuperata dall'operatore ha mostrato un uso intenso di Cursor per pianificare diverse fasi degli attacchi, incluso un piano completo di sfruttamento di Active Directory Certificate Services (AD CS) scritto in russo. Secondo CloudSEK, i due binari encryptor, un file Windows chiamato sap.exe e un file Linux/ESXi chiamato encrypt.out, sono build statiche compilate da un unico codebase Zig piuttosto che due programmi scritti separatamente. Il binario Windows contiene persino gli esempi d'uso della build Linux al suo interno, un residuo della condivisione di un unico albero sorgente tra entrambe le piattaforme. La variante Windows è anche progettata per bloccare il ripristino del sistema eliminando le copie shadow del volume e disabilitando il Ripristino configurazione di sistema tramite il Registro di Windows. La variante Linux ed ESXi tenta di terminare con la forza ogni macchina virtuale sull'host prima di iniziare la cifratura. Separatamente, una chiave recuperata dall'encryptor Aurora avrebbe dato accesso a una negoziazione del riscatto tra l'attore e una vittima senza nome, più un cluster di quattro portafogli di criptovalute. I portafogli mostrano pagamenti agli affiliati che vanno dal 54 percento al 79 percento di ogni riscatto, con il resto che va agli amministratori; la divisione esatta viene decisa per vittima in base all'importo del riscatto richiesto e ai ricavi della vittima. I fondi vengono poi riciclati e incassati.

Gambit Security ha pubblicato le proprie scoperte, riferendo che l'operatore di Aurora ha usato Cursor Agent che esegue il modello Claude Sonnet di Anthropic per aiutare nello sfruttamento manuale contro 10 obiettivi tra l'8 aprile e il 21 maggio 2026. In questi casi all'agente sono state fornite credenziali valide o una via d'accesso esistente nell'organizzazione vittima e poi è stato incaricato di varie attività di sfruttamento. Alcuni dei compiti affidati all'agente includevano l'installazione di un client VPN o proxychains e la connessione a una vittima con credenziali fornite o un tunnel SOCKS esistente, la scansione di sottoreti interne con Nmap o NetExec, e l'enumerazione del dominio con il collector BloodHound di NetExec per riportare quali privilegi deteneva un utente. L'agente ha anche tentato attacchi di relay NTLM forzando l'autenticazione con PetitPotam, Coerce Plus e PrinterBug, poi usando ntlmrelayx di Impacket per inoltrare il risultato. Ha anche eseguito attacchi ai certificati con Certipy. Gambit Security ha notato che la maggior parte dei comandi dell'agente non ha raggiunto l'obiettivo al primo tentativo, portando a molteplici perfezionamenti e modifiche di comandi e script; alcuni alla fine hanno avuto successo mentre altri hanno fallito e hanno restituito solo un rapporto all'attaccante. Negli attacchi che coinvolgevano la variante Linux, gli operatori hanno usato uno script Python chiamato esxi_finder.py per scansionare hypervisor VMware ESXi e server vCenter all'interno di una rete vittima. Reuters ha riportato i nomi di diverse organizzazioni colpite: Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, un distributore farmaceutico argentino e un produttore italiano.

Le operazioni di Aurora sono un altro esempio di gruppi criminali che usano strumenti IA commerciali nonostante le protezioni aggiunte dai fornitori di modelli. Lo stesso ciclo di ricerca ha anche portato alla luce un nuovo toolkit assistito dall'IA chiamato Gryxa. Secondo ReliaQuest, Gryxa appartiene a un attore motivato finanziariamente che gestisce un'operazione di accesso iniziale che ha preso di mira 324 host. ReliaQuest ha dichiarato che Gryxa è il primo caso che ha osservato in cui l'IA è stata usata per costruire un'intera operazione, dal toolkit stesso alla console usata per eseguirlo. Gryxa trasforma software legittimo di monitoraggio e gestione remota (RMM) in accesso nascosto, mantiene vivo quell'accesso attraverso diversi meccanismi di riavvio indipendenti e ruba credenziali salvate nei browser web basati su Chromium. Quando la connessione all'attore viene interrotta, Gryxa intensifica l'attacco contro la protezione degli endpoint disabilitando o tentando di disinstallare l'agente di sicurezza. Quella combinazione dà all'attore accesso duraturo a un host e consente il furto di portafogli di criptovalute. I ricercatori ritengono che lo sviluppatore abbia effettuato il jailbreak di un agente di programmazione IA presentando l'intero processo di sviluppo come una distribuzione interna autorizzata. Gryxa viene probabilmente distribuito tramite email di phishing. Una volta in esecuzione, imposta la persistenza con attività pianificate e può aggirare le protezioni di crittografia legata all'app (ABE) di Chromium per rubare credenziali salvate nel browser; le credenziali raccolte vengono trasmesse via Telegram. Un comportamento insolito è che Gryxa registra gli sforzi di rimedio e li riporta all'attaccante. Dopo che l'impianto RMM visibile viene rimosso, un componente nascosto raccoglie log di Windows e artefatti dell'host e li carica su infrastruttura controllata dall'attaccante. Se il relay dell'attore diventa irraggiungibile, Gryxa tenta di disabilitare e disinstallare agenti di protezione degli endpoint come Microsoft Defender entro circa 10-13 minuti, poi riabilita Defender una volta che il relay è di nuovo raggiungibile. ReliaQuest ha dichiarato che il componente Gryxa raccoglieva e caricava solo dati senza esaminarli, lasciando all'attore trarre conclusioni su quale strumento avesse eseguito la rimozione, quale account l'avesse eseguita e in quale ordine. La console dell'attaccante include un job preconfezionato chiamato collect-forensics, indicando che si tratta di una capacità di routine piuttosto che di una risposta a un singolo incidente. Gryxa ruota anche i suoi file di log quando superano i 200KB, così l'attività recente viene preservata per un responder che agisce rapidamente.

Per le aziende, i proprietari di siti web e i team IT, le scoperte sottolineano che gli strumenti IA ora supportano l'intero flusso di lavoro del ransomware, dall'accesso iniziale al movimento laterale e alla cifratura. I difensori dovrebbero trattare le richieste di accesso remoto inaspettate con estrema cautela, applicare l'autenticazione a più fattori, mantenere la protezione degli endpoint attiva e aggiornata, e mantenere backup offline che il ransomware non può raggiungere. Per le organizzazioni che hanno bisogno di rivedere e rafforzare la propria infrastruttura contro questi metodi, AEU-I fornisce consulenza IT e infrastrutturale orientata alla sicurezza.