Ransomware Aurora përdori Cursor AI për të planifikuar sulme ndaj rrjetit
CloudSEK dhe Gambit Security thonë se operatorët e ransomware Aurora përdorën Cursor AI, asistentin e kodimit të SpaceX, për të planifikuar sulme ndaj më shumë se 20 organizatave.
Operatorët e ransomware Aurora përdorën Cursor, një asistent kodimi të fuqizuar nga AI, për të planifikuar dhe kryer intrusione në rrjetet e viktimave, sipas gjetjeve të CloudSEK dhe Gambit Security. Të dyja firmat kryen analiza të pavarura të infrastrukturës së ekspozuar që i përkiste grupit kriminal rusishtfolës, dhe puna e tyre zbuloi mjetet e tij, historikun e komandave dhe enkriptuesin, programin që bllokon skedarët e viktimës. Grupi gjurmohet gjithashtu si Aur0ra.
CloudSEK tha se direktoria e hapur e ekspozuar zbuloi "muaj aktiviteti" të synuar ndaj më shumë se 20 organizatave në nëntë vende midis prillit dhe korrikut 2026. Katër nga ato viktima janë listuar që atëherë në faqen e rrjedhjes së të dhënave të grupit, faqja publike ku ekipet e ransomware postojnë materiale të vjedhura për të detyruar viktimat të paguajnë. CloudSEK vuri në dukje se operatori përdori Cursor për të planifikuar sulme në rusisht, duke përjashtuar pa përjashtim gamat CIS dhe domenet e vendeve CIS. CIS qëndron për Komonuelthin e Shteteve të Pavarura, një grup vendesh në Evropën Lindore dhe Azinë Qendrore.
Detajet rreth Aurora u shfaqën për herë të parë në fund të majit 2026, kur CYFIRMA theksoi sulme që synonin kryesisht sistemet Windows dhe zhvillimin e vazhdueshëm teknik të grupit përmes përditësimeve incrementale dhe veçorive të reja. Të dhënat nga Ransomware.Live listojnë 33 viktima të vendosura në Shtetet e Bashkuara, Gjermani, Holandë, Kanada dhe Mbretërinë e Bashkuar.
Në një rast të detajuar nga Black Hills Information Security muajin e kaluar, sulmuesit fituan terrenin e tyre të parë përmes bombardimeve agresive me email, pastaj telefonuan punonjësit duke u paraqitur si staf i ndihmës IT që ofronin ndihmë për përmbytjen e mesazheve. Në vend të kësaj, ata përdorën një mjet me burim të hapur të quajtur Xray-core për të vendosur akses në distancë. Nga atje zinxhiri i sulmit u zhvendos në mënyrë laterale duke përdorur SMB, LDAP, WinRM, RDP dhe RPC, mekanizmat standardë të Windows për ndarjen e skedarëve, kërkimin e informacionit të drejtorisë, ekzekutimin e komandave në makineri të tjera, marrjen e kontrollit të një desktopi në distancë dhe thirrjen e shërbimeve në një sistem tjetër. Intruzët morën llogari administratori me privilegje të larta dhe i shpërdoruan ato për të shmangur zbulimin duke pastruar regjistrat dhe çaktivizuar Microsoft Defender, përpara se të mblidhnin dhe eksfiltronin të dhëna të ndjeshme dhe të vendosnin enkriptuesin.
CloudSEK tha se identifikoi versione të Aurora për Windows dhe Linux të shkruara në Zig, një gjuhë programimi. Historiku i bisedave i rikuperuar tregon përdorim të madh të Cursor për planifikimin e fazave të ndryshme të sulmit, duke përfshirë një plan të plotë shfrytëzimi për Active Directory Certificate Services (AD CS), sistemi Microsoft që lëshon certifikata dixhitale brenda një rrjeti korporativ, të shkruar në rusisht. CloudSEK vuri në dukje se të dy binaret e enkriptuesit, sap.exe për Windows dhe encrypt.out për Linux/ESXi, janë ndërtime statike nga një bazë e vetme kodi Zig, të përpiluara për objektiva të ndryshëm në vend që të shkruhen dy herë. Binari i Windows madje mban brenda tij shembujt e përdorimit të ndërtimit për Linux, një mbetje nga ndarja e një peme të vetme burimi nëpër të dyja platformat, tha kompania.
Varianti për Windows është gjithashtu i pajisur për të penguar rikuperimin e sistemit duke fshirë kopjet e hijes së volumit, pamjet automatike që Windows mban në mënyrë që skedarët të mund të rikthehen, dhe duke çaktivizuar System Restore drejtpërdrejt përmes Regjistrit, bazës së dhënave të cilësimeve të Windows. Varianti për Linux dhe ESXi përpiqet të vrasë me forcë çdo makinë virtuale të vetme në host përpara se të fillojë enkriptimi.
Një çelës i rikuperuar nga enkriptuesi Aurora thuhet se ka dhënë akses në një negociatë shpërblimi midis aktorit të kërcënimit dhe një viktime të pacaktuar, dhe në një grup prej katër portofolash kriptovalutash që tregojnë ndarje të ndryshme midis filialeve dhe operatorëve kryesorë. Filialet morën midis 54% dhe 79%, pjesa tjetër shkoi te administratorët. Kjo tregon se pjesa e filialeve e shpërblimit vendoset për viktimë dhe varet nga shuma e kërkuar dhe të ardhurat e viktimës, sipas gjetjeve. Fondet e paligjshme pastaj pastrohen dhe arkëtohen.
Gambit Security, e cila publikoi njohuritë e veta për aktivitetin, tha se vëzhgoi operatorin e Aurora duke përdorur Cursor Agent, duke ekzekutuar modelin Claude Sonnet të Anthropic, për të ndihmuar në shfrytëzimin praktik kundër 10 objektivave midis 8 prillit dhe 21 majit 2026. "Në këto raste agjenti u pajis me kredenciale ose një rrugë ekzistuese në organizatën e viktimës. Pastaj iu caktuan aktivitete të ndryshme shfrytëzimi," tha Eyal Sela, drejtor i inteligjencës së kërcënimeve në Gambit Security.
Detyrat e dhëna agjentit të AI përfshinin instalimin e një klienti VPN ose proxychains (një mjet që drejton trafikun përmes një zinxhiri serverësh ndërmjetës) dhe lidhjen me një viktimë me kredenciale të dhëna ose një tunel ekzistues; skanimin e nënrrejteve të brendshme për hoste me Nmap ose NetExec; numërimin e domenit për të raportuar se cilat privilegje mban një përdorues i dhënë, duke përdorur mbledhësin BloodHound të NetExec; tentimin e sulmeve NTLM relay, një teknikë që kap dhe ripërdor një shkëmbim vërtetimi të Windows, duke detyruar vërtetimin me PetitPotam, Coerce Plus dhe PrinterBug dhe duke transmetuar rezultatin me Impacket ntlmrelayx; dhe ekzekutimin e sulmeve me certifikata me Certipy. Në disa raste sulmuesi thjesht kërkoi një objektiv, si p.sh. të tregonte se çfarë të drejtash kishte një përdorues, ndërsa në të tjera ata emërtuan mjetin për t'u përdorur ose i thanë agjentit të ndiqte një plan sulmi që kishte gjeneruar më parë. Ndonjëherë agjenti kthente një listë me hapa të mundshëm të ardhshëm dhe gjithçka që bënte sulmuesi ishte të përgjigjej me një numër.
Gambit tha se shumica e komandave dështuan të arrinin objektivin e deklaruar në tentativën e parë, gjë që çoi në përmirësime të shumta dhe ndryshime në komandat dhe skriptet e përdorura për secilën detyrë. Disa përfundimisht patën sukses, ndërsa të tjerat dështuan dhe kthyen vetëm një raport të tentativave për sulmuesin. Sulmet që përfshinin versionin për Linux kanë përdorur gjithashtu një skript Python të quajtur esxi_finder.py për të skanuar për hipervizorë VMware ESXi dhe serverë vCenter brenda një rrjeti viktime.
Emrat e kompanive të prekura nuk u zbuluan në raportet teknike, por Reuters tha se ato përfshijnë Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, një distributor farmaceutik argjentinas dhe një prodhues italian.
Aurora nuk është rasti i vetëm i fundit i grupeve kriminale që mbështeten në mjete komerciale të AI. ReliaQuest tha se zbuloi një paketë të re të ndihmuar nga AI të quajtur Gryxa, e përdorur nga një aktor kërcënimi i motivuar financiarisht për të kryer një operacion aksesi fillestar që synonte 324 hoste. ReliaQuest e përshkroi Gryxa si rastin e parë që ka vëzhguar ku AI u përdor për të ndërtuar një operacion të tërë, nga vetë paketa deri te konsola nga e cila drejtohet.
Sipas ReliaQuest, Gryxa kthen softuerin legjitim të monitorimit dhe menaxhimit në distancë (RMM) në akses të fshehtë, e mban atë akses gjallë përmes disa mekanizmave rindezjeje që funksionojnë në mënyrë të pavarur nga njëri-tjetri, dhe pastaj vjedh kredencialet e ruajtura në shfletuesit e bazuar në Chromium. Ai gjithashtu përshkallëzohet kundër mbrojtjes së pikave fundore kur lidhja me sulmuesin ndërpritet, duke çaktivizuar ose tentuar të çinstalojë agjentin e sigurisë. Së bashku, këto aftësi i japin aktorit akses të qëndrueshëm në një host dhe i lejojnë ata të vjedhin portofola kriptovalutash. Provat tregojnë se aktori i kërcënimit pas operacionit shpërtheu një agjent kodimi AI duke e kaluar të gjithë procesin e zhvillimit si një "vendosje e brendshme e autorizuar", dhe Gryxa ka gjasa të dorëzohet përmes email-eve të phishing-ut.
Pasi ekzekutohet në një makinë të kompromentuar, Gryxa vendos këmbëngulje duke përdorur detyra të planifikuara dhe mund të anashkalojë enkriptimin e lidhur me aplikacionin e Chromium, një mbrojtje që lidh të dhënat e ruajtura të shfletuesit me aplikacionin që i ruajti ato, për të vjedhur fjalëkalimet nga shfletuesit e uebit, duke dërguar kredencialet e mbledhura përmes Telegram. Ndoshta veçoria e tij më e pazakontë është se regjistron përpjekjet për riparim dhe i raporton ato: pasi implanti i dukshëm RMM hiqet, një komponent i fshehur malware mbledh regjistrat e Windows dhe artefaktet e hostit dhe i ngarkon në infrastrukturën e kontrolluar nga sulmuesi. Nëse releja e sulmuesit bëhet e paarritshme, paketa përpiqet të çaktivizojë dhe çinstalojë agjentët e mbrojtjes së pikave fundore si Microsoft Defender brenda afërsisht 10 deri në 13 minutash, dhe riaktivizon Defender sapo releja të jetë përsëri e arritshme. ReliaQuest tha se ai komponent vetëm mblidhte dhe ngarkonte dhe nuk shqyrtonte atë që merrte, duke e lënë aktorin të nxirrte përfundime se cili mjet kreu një heqje, cila llogari e drejtoi atë dhe në çfarë radhe. Konsola e sulmuesit përfshin një punë të gatshme të quajtur collect-forensics, të cilën ReliaQuest e lexoi si një aftësi rutinë dhe jo si përgjigje ndaj një incidenti, dhe Gryxa rrotullon skedarët e regjistrit sapo ata kalojnë 200KB, duke mbajtur aktivitetin e fundit në dispozicion për një përgjigjës që vepron shpejt.
Për bizneset dhe ekipet IT që drejtojnë faqe interneti dhe shërbime të brendshme, raportet nënvizojnë prioritete të njohura: kredencialet e forta dhe unike, rregullimi i shpejtë i patch-eve dhe monitorimi kanë edhe më shumë rëndësi kur një sulmues mund të automatizojë zbulimin. Çdo intrusion i ndihmuar nga AI i përshkruar nga Gambit Security ende varej nga kredenciale të vjedhura ose një terren ekzistues në organizatën e viktimës. Kompanitë që duan ndihmë të jashtme për të forcuar serverët dhe rrjetet e tyre mund të shqyrtojnë shërbimet e IT-së, infrastrukturës dhe konsulencës të fokusuara në sigurinë e paraqitura nga AEU-I në aeu-i.com. Pika më e gjerë nga të dy raportet është se mjetet që ripërdoren janë softuer komercial i zakonshëm dhe jo malware i personalizuar, gjë që ul barrierën për ekipe më pak të afta.
Si të Mbroheni
- Aktivizoni përditësimet automatike për Windows, shfletuesin tuaj të uebit dhe çdo softuer sigurie që përdorni, dhe rindizni pajisjen kur ju kërkon, në mënyrë që të rregullohen dobësitë e njohura pa u menduar.
- Mos i jepni kurrë fjalëkalimin tuaj dikujt që ju telefonon duke pretenduar se është nga mbështetja IT, dhe mos miratoni kurrë një kërkesë identifikimi që ju dërgojnë, edhe nëse thonë se është urgjente; mbyllni telefonatën dhe telefononi për
- Përdorni një fjalëkalim të ndryshëm për çdo llogari dhe mbani ato në një menaxher fjalëkalimesh, në mënyrë që një fjalëkalim i vjedhur nga shfletuesi juaj të mos ripërdoret për të thyer shërbime të tjera.
- Kontrolloni që Microsoft Defender ose antivirusi juaj është i aktivizuar dhe përditësohet; nëse zbuloni se është çaktivizuar dhe nuk e keni bërë ju, trajtojeni atë si një shenjë paralajmëruese dhe kërkoni ndihmë.
- Mbani kopje rezervë të skedarëve të rëndësishëm diku që nuk është e lidhur përgjithmonë me kompjuterin tuaj, dhe testoni herë pas here që mund t'i riktheni vërtet ato.
- Nëse kutia tuaj postare mbushet papritur me një përmbytje emailesh të padëshiruara, njoftoni menjëherë ekipin tuaj IT, sepse përmbytja me email ndonjëherë përdoret për të shpërqendruar njerëzit ndërsa diçka tjetër po ndodh.
Termat e Shpjeguar
- ransomware Një lloj softueri keqdashës që bllokon ose vjedh skedarët e viktimës dhe kërkon pagesë për t'i lëshuar ato.
- encryptor Pjesa e një programi ransomware që kodon skedarët në mënyrë që ata të mos hapen më pa çelësin e sulmuesit.
- affiliates Kriminelë partnerë që thyejnë rrjetet e viktimave për një bandë ransomware dhe marrin një pjesë të çdo shpërblimi të paguar.
- Active Directory Certificate Services (AD CS) Një sistem Microsoft që lëshon certifikatat dixhitale të përdorura për të provuar identitetin brenda një rrjeti kompanie.
- NTLM relay attacks Një mashtrim që kap një shkëmbim identifikimi të Windows dhe e kalon atë në një makinë tjetër për t'u identifikuar si ai përdorues.
- remote monitoring and management (RMM) Softuer legjitim që ekipet IT përdorin për të kontrolluar dhe kujdesur për kompjuterët në distancë, të cilin kriminelët mund ta abuzojnë për akses të qetë.
- virtual machine Një kompjuter i plotë që funksionon si softuer brenda një serveri fizik, shpesh i përdorur për të strehuar faqe interneti dhe shërbime.
- app-bound encryption Një mbrojtje e shfletuesit që lidh fjalëkalimet dhe të dhënat e ruajtura me aplikacionin që i ruajti ato, në mënyrë që programet e tjera të mos mund t'i lexojnë thjesht ato.