Ransomware Aurora përdori Cursor AI për të planifikuar sulme ndaj rrjetit
Operatorët e ransomware Aurora përdorën Cursor, një asistent kodimi të fuqizuar nga AI, për të planifikuar dhe kryer intrusione në rrjetet e viktimave, sipas gjetjeve të CloudSEK dhe Gambit Security. Të dyja firmat kryen analiza të pavarura të infrastrukturës së ekspozuar që i përkiste grupit kriminal rusishtfolës, dhe puna e tyre zbuloi mjetet e tij, historikun e komandave dhe enkriptuesin, programin që bllokon skedarët e viktimës. Grupi gjurmohet gjithashtu si Aur0ra.
CloudSEK tha se direktoria e hapur e ekspozuar zbuloi "muaj aktiviteti" të synuar ndaj më shumë se 20 organizatave në nëntë vende midis prillit dhe korrikut 2026. Katër nga ato viktima janë listuar që atëherë në faqen e rrjedhjes së të dhënave të grupit, faqja publike ku ekipet e ransomware postojnë materiale të vjedhura për të detyruar viktimat të paguajnë. CloudSEK vuri në dukje se operatori përdori Cursor për të planifikuar sulme në rusisht, duke përjashtuar pa përjashtim gamat CIS dhe domenet e vendeve CIS. CIS qëndron për Komonuelthin e Shteteve të Pavarura, një grup vendesh në Evropën Lindore dhe Azinë Qendrore.
Detajet rreth Aurora u shfaqën për herë të parë në fund të majit 2026, kur CYFIRMA theksoi sulme që synonin kryesisht sistemet Windows dhe zhvillimin e vazhdueshëm teknik të grupit përmes përditësimeve incrementale dhe veçorive të reja. Të dhënat nga Ransomware.Live listojnë 33 viktima të vendosura në Shtetet e Bashkuara, Gjermani, Holandë, Kanada dhe Mbretërinë e Bashkuar.
Në një rast të detajuar nga Black Hills Information Security muajin e kaluar, sulmuesit fituan terrenin e tyre të parë përmes bombardimeve agresive me email, pastaj telefonuan punonjësit duke u paraqitur si staf i ndihmës IT që ofronin ndihmë për përmbytjen e mesazheve. Në vend të kësaj, ata përdorën një mjet me burim të hapur të quajtur Xray-core për të vendosur akses në distancë. Nga atje zinxhiri i sulmit u zhvendos në mënyrë laterale duke përdorur SMB, LDAP, WinRM, RDP dhe RPC, mekanizmat standardë të Windows për ndarjen e skedarëve, kërkimin e informacionit të drejtorisë, ekzekutimin e komandave në makineri të tjera, marrjen e kontrollit të një desktopi në distancë dhe thirrjen e shërbimeve në një sistem tjetër. Intruzët morën llogari administratori me privilegje të larta dhe i shpërdoruan ato për të shmangur zbulimin duke pastruar regjistrat dhe çaktivizuar Microsoft Defender, përpara se të mblidhnin dhe eksfiltronin të dhëna të ndjeshme dhe të vendosnin enkriptuesin.
CloudSEK tha se identifikoi versione të Aurora për Windows dhe Linux të shkruara në Zig, një gjuhë programimi. Historiku i bisedave i rikuperuar tregon përdorim të madh të Cursor për planifikimin e fazave të ndryshme të sulmit, duke përfshirë një plan të plotë shfrytëzimi për Active Directory Certificate Services (AD CS), sistemi Microsoft që lëshon certifikata dixhitale brenda një rrjeti korporativ, të shkruar në rusisht. CloudSEK vuri në dukje se të dy binaret e enkriptuesit, sap.exe për Windows dhe encrypt.out për Linux/ESXi, janë ndërtime statike nga një bazë e vetme kodi Zig, të përpiluara për objektiva të ndryshëm në vend që të shkruhen dy herë. Binari i Windows madje mban brenda tij shembujt e përdorimit të ndërtimit për Linux, një mbetje nga ndarja e një peme të vetme burimi nëpër të dyja platformat, tha kompania.
Varianti për Windows është gjithashtu i pajisur për të penguar rikuperimin e sistemit duke fshirë kopjet e hijes së volumit, pamjet automatike që Windows mban në mënyrë që skedarët të mund të rikthehen, dhe duke çaktivizuar System Restore drejtpërdrejt përmes Regjistrit, bazës së dhënave të cilësimeve të Windows. Varianti për Linux dhe ESXi përpiqet të vrasë me forcë çdo makinë virtuale të vetme në host përpara se të fillojë enkriptimi.
Një çelës i rikuperuar nga enkriptuesi Aurora thuhet se ka dhënë akses në një negociatë shpërblimi midis aktorit të kërcënimit dhe një viktime të pacaktuar, dhe në një grup prej katër portofolash kriptovalutash që tregojnë ndarje të ndryshme midis filialeve dhe operatorëve kryesorë. Filialet morën midis 54% dhe 79%, pjesa tjetër shkoi te administratorët. Kjo tregon se pjesa e filialeve e shpërblimit vendoset për viktimë dhe varet nga shuma e kërkuar dhe të ardhurat e viktimës, sipas gjetjeve. Fondet e paligjshme pastaj pastrohen dhe arkëtohen.
Gambit Security, e cila publikoi njohuritë e veta për aktivitetin, tha se vëzhgoi operatorin e Aurora duke përdorur Cursor Agent, duke ekzekutuar modelin Claude Sonnet të Anthropic, për të ndihmuar në shfrytëzimin praktik kundër 10 objektivave midis 8 prillit dhe 21 majit 2026. "Në këto raste agjenti u pajis me kredenciale ose një rrugë ekzistuese në organizatën e viktimës. Pastaj iu caktuan aktivitete të ndryshme shfrytëzimi," tha Eyal Sela, drejtor i inteligjencës së kërcënimeve në Gambit Security.
Detyrat e dhëna agjentit të AI përfshinin instalimin e një klienti VPN ose proxychains (një mjet që drejton trafikun përmes një zinxhiri serverësh ndërmjetës) dhe lidhjen me një viktimë me kredenciale të dhëna ose një tunel ekzistues; skanimin e nënrrejteve të brendshme për hoste me Nmap ose NetExec; numërimin e domenit për të raportuar se cilat privilegje mban një përdorues i dhënë, duke përdorur mbledhësin BloodHound të NetExec; tentimin e sulmeve NTLM relay, një teknikë që kap dhe ripërdor një shkëmbim vërtetimi të Windows, duke detyruar vërtetimin me PetitPotam, Coerce Plus dhe PrinterBug dhe duke transmetuar rezultatin me Impacket ntlmrelayx; dhe ekzekutimin e sulmeve me certifikata me Certipy. Në disa raste sulmuesi thjesht kërkoi një objektiv, si p.sh. të tregonte se çfarë të drejtash kishte një përdorues, ndërsa në të tjera ata emërtuan mjetin për t'u përdorur ose i thanë agjentit të ndiqte një plan sulmi që kishte gjeneruar më parë. Ndonjëherë agjenti kthente një listë me hapa të mundshëm të ardhshëm dhe gjithçka që bënte sulmuesi ishte të përgjigjej me një numër.
Gambit tha se shumica e komandave dështuan të arrinin objektivin e deklaruar në tentativën e parë, gjë që çoi në përmirësime të shumta dhe ndryshime në komandat dhe skriptet e përdorura për secilën detyrë. Disa përfundimisht patën sukses, ndërsa të tjerat dështuan dhe kthyen vetëm një raport të tentativave për sulmuesin. Sulmet që përfshinin versionin për Linux kanë përdorur gjithashtu një skript Python të quajtur esxi_finder.py për të skanuar për hipervizorë VMware ESXi dhe serverë vCenter brenda një rrjeti viktime.
Emrat e kompanive të prekura nuk u zbuluan në raportet teknike, por Reuters tha se ato përfshijnë Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, një distributor farmaceutik argjentinas dhe një prodhues italian.
Aurora nuk është rasti i vetëm i fundit i grupeve kriminale që mbështeten në mjete komerciale të AI. ReliaQuest tha se zbuloi një paketë të re të ndihmuar nga AI të quajtur Gryxa, e përdorur nga një aktor kërcënimi i motivuar financiarisht për të kryer një operacion aksesi fillestar që synonte 324 hoste. ReliaQuest e përshkroi Gryxa si rastin e parë që ka vëzhguar ku AI u përdor për të ndërtuar një operacion të tërë, nga vetë paketa deri te konsola nga e cila drejtohet.
Sipas ReliaQuest, Gryxa kthen softuerin legjitim të monitorimit dhe menaxhimit në distancë (RMM) në akses të fshehtë, e mban atë akses gjallë përmes disa mekanizmave rindezjeje që funksionojnë në mënyrë të pavarur nga njëri-tjetri, dhe pastaj vjedh kredencialet e ruajtura në shfletuesit e bazuar në Chromium. Ai gjithashtu përshkallëzohet kundër mbrojtjes së pikave fundore kur lidhja me sulmuesin ndërpritet, duke çaktivizuar ose tentuar të çinstalojë agjentin e sigurisë. Së bashku, këto aftësi i japin aktorit akses të qëndrueshëm në një host dhe i lejojnë ata të vjedhin portofola kriptovalutash. Provat tregojnë se aktori i kërcënimit pas operacionit shpërtheu një agjent kodimi AI duke e kaluar të gjithë procesin e zhvillimit si një "vendosje e brendshme e autorizuar", dhe Gryxa ka gjasa të dorëzohet përmes email-eve të phishing-ut.
Pasi ekzekutohet në një makinë të kompromentuar, Gryxa vendos këmbëngulje duke përdorur detyra të planifikuara dhe mund të anashkalojë enkriptimin e lidhur me aplikacionin e Chromium, një mbrojtje që lidh të dhënat e ruajtura të shfletuesit me aplikacionin që i ruajti ato, për të vjedhur fjalëkalimet nga shfletuesit e uebit, duke dërguar kredencialet e mbledhura përmes Telegram. Ndoshta veçoria e tij më e pazakontë është se regjistron përpjekjet për riparim dhe i raporton ato: pasi implanti i dukshëm RMM hiqet, një komponent i fshehur malware mbledh regjistrat e Windows dhe artefaktet e hostit dhe i ngarkon në infrastrukturën e kontrolluar nga sulmuesi. Nëse releja e sulmuesit bëhet e paarritshme, paketa përpiqet të çaktivizojë dhe çinstalojë agjentët e mbrojtjes së pikave fundore si Microsoft Defender brenda afërsisht 10 deri në 13 minutash, dhe riaktivizon Defender sapo releja të jetë përsëri e arritshme. ReliaQuest tha se ai komponent vetëm mblidhte dhe ngarkonte dhe nuk shqyrtonte atë që merrte, duke e lënë aktorin të nxirrte përfundime se cili mjet kreu një heqje, cila llogari e drejtoi atë dhe në çfarë radhe. Konsola e sulmuesit përfshin një punë të gatshme të quajtur collect-forensics, të cilën ReliaQuest e lexoi si një aftësi rutinë dhe jo si përgjigje ndaj një incidenti, dhe Gryxa rrotullon skedarët e regjistrit sapo ata kalojnë 200KB, duke mbajtur aktivitetin e fundit në dispozicion për një përgjigjës që vepron shpejt.
Për bizneset dhe ekipet IT që drejtojnë faqe interneti dhe shërbime të brendshme, raportet nënvizojnë prioritete të njohura: kredencialet e forta dhe unike, rregullimi i shpejtë i patch-eve dhe monitorimi kanë edhe më shumë rëndësi kur një sulmues mund të automatizojë zbulimin. Çdo intrusion i ndihmuar nga AI i përshkruar nga Gambit Security ende varej nga kredenciale të vjedhura ose një terren ekzistues në organizatën e viktimës. Kompanitë që duan ndihmë të jashtme për të forcuar serverët dhe rrjetet e tyre mund të shqyrtojnë shërbimet e IT-së, infrastrukturës dhe konsulencës të fokusuara në sigurinë e paraqitura nga AEU-I në aeu-i.com. Pika më e gjerë nga të dy raportet është se mjetet që ripërdoren janë softuer komercial i zakonshëm dhe jo malware i personalizuar, gjë që ul barrierën për ekipe më pak të afta.