Ransomware групировките вече възлагат най-трудните части от проникването в мрежа на AI инструменти за програмиране. Група, свързана с ransomware Aur0ra, е използвала AI агенти на Cursor, за да премине от откраднати пароли до права на администратор на домейна – най-високото ниво на контрол в Windows мрежа. След това е събрала данни и се е подготвила да внедри ransomware.
Групата зад Aur0ra, изписвано също Aurora, се проследява като GOLD OGRE. Операторите са осигурили VPN достъп, цели и задачи, а агентите са свършили по-голямата част от работата с минимална помощ. Това намалява нивото на умения, необходимо за провеждането на пълна атака.
Случаят е важен и за всяка компания, която разчита на Active Directory, както показва по-ранен доклад за Aurora, описващ използването на AI за планиране от същата групировка.
Анализатори от Sophos са установили активността, докато са изучавали AI-подпомогната рамка за тестване, създадена с Cursor. Звеното на компанията Counter Threat Unit публикува изследване за тази рамка през май 2026 г.
Хакерите зад ransomware Aur0ra използват AI агенти на Cursor
Рамката е тествала няколко продукта за откриване и реагиране на крайни точки (EDR), включително собствения агент на Sophos. По-късно, според пълния анализ на Sophos, същата инфраструктура е била забелязана да хоства Cobalt Strike за операции на Aur0ra. Sophos заявява, че е предупредила засегнатите клиенти и е работила с правоприлагащите органи, за да уведоми други жертви.
В края на август анализаторите са възстановили файлове на Cursor, свързани както с работата по ransomware, така и с тестването за заобикаляне на защити. Атакуващите са използвали Cursor, за да се изкачат от достъп до идентификационни данни до администратор на домейна.
Те са заобиколили защитните правила на AI, като са представяли работата като разрешена задача на red team или „диагностично тестване“. Моделът Composer на Cursor е изпълнил много от проникванията, заедно с модели на Anthropic, xAI и Moonshot.
Първоначално групата е използвала почти изцяло Anthropic, а после е добавила другите, когато е преминала от изграждане на инструменти към проникване в мрежи. Други групи също са хванати да използват Claude AI за планиране на ransomware дейности, така че практиката се разпространява.
След като получили достъп, агентите са картографирали мрежата и са проверили за слаби пътища към привилегировани акаунти. Те са изпълнявали команди, преминавали са от машина на машина и са претърсвали файлови споделяния, потребителски документи, хранилища за резервни копия и облачно свързано съхранение.
Опитвали са password spraying, Kerberoasting, NTLM coercion и relay и са извличали идентификационни данни от файлове и резервни копия. Операторите са използвали и често срещани инструменти като SharpShares и NetExec, които се появяват и в докладите за EDR killers на ransomware Gentlemen.
В някои мрежи на жертви агентите са достигнали до управление на домейна, а три от тези жертви по-късно са се появили в сайта за изтичане на данни на Aur0ra.
Откраднатите файлове са подготвени и изпратени към S3-съвместимо хранилище. Sophos е видяла как един оператор използва команда VeeamTransport, за да копира данни в хранилище на сървър с адрес 152[.]236[.]4[.]14. Дневниците показват и руски клавишни комбинации, въведени с кирилска клавиатурна подредба, което подсказва, че операторите говорят руски.
Констатации на трети страни, споделени инструменти и стъпки за защита
В края на август 2026 г. Gambit Security и CloudSEK публикуваха доклади, които изглежда се основават на една и съща открита директория на 172[.]86[.]113[.]245.
В нея е имало версии на ransomware Aur0ra за Windows и Linux (готови за ESXi), история на командите в shell и чат дневници на Cursor. Gambit отбелязва и агент на Claude 4.5-Sonnet в полуавтоматизирани прониквания.
Това съвпада със случай на ransomware с Claude Code, при който операторът е оставил модела сам да поправя командите си, докато задачата проработи.
Gambit описва агенти, които инсталират VPN клиент, сканират подмрежи с Nmap или NetExec и картографират домейна с BloodHound.
Те са опитвали и NTLM relay чрез PetitPotam, Coerce Plus и PrinterBug и са използвали Certipy за злоупотреба със сертификати. Sophos е открила същите инструменти в собствената си рамка за тестване, но между двата комплекта инфраструктура се е припокрил само един IP адрес, свързан със SOCKS.
Изследователите на Sophos заявяват с висока степен на увереност, че GOLD OGRE е използвала AI, за да тества доколко добре инструментите избягват откриването, и след това е предоставила подобна технология на съучастници, управляващи Aur0ra.
Те очакват и други ransomware групировки да интегрират AI агенти като Cursor в работата си. Основните защити остават полезни: инсталиране на корекции за сигурност на устройствата, изложени към интернет, устойчиво на фишинг многофакторно удостоверяване и внимателно наблюдение на EDR сигналите.
Тъй като AI ускорява всеки етап, бързата реакция става по-важна. Sophos съветва също да се ограничава движението на натрапника чрез сегментиране на критичните сървъри, изолиране на резервните копия, преглед на правата на администратор на домейна, използване на управление на привилегирования достъп и прилагане на контрол върху приложенията.
Индикатори за компрометиране (IoC):
| Индикатор | Тип | Контекст |
|---|---|---|
| 152[.]236[.]4[.]14 | IP адрес | Сървър за извличане на данни, използван в операции на ransomware Aur0ra |
| 152[.]236[.]3[.]8 | IP адрес | C2 сървър на Cobalt Strike, използван в операции на ransomware Aur0ra |
| 172[.]86[.]89[.]124 | IP адрес | C2 сървър на Cobalt Strike, използван в операции на ransomware Aur0ra |
| 144[.]172[.]101[.]72 | IP адрес | C2 сървър на Cobalt Strike, използван в операции на ransomware Aur0ra |
| 206[.]223[.]230[.]107 | IP адрес | C2 сървър на Cobalt Strike, използван в операции на ransomware Aur0ra |
| 45[.]59[.]113[.]63 | IP адрес | SOCKS прокси възел, използван в операции на ransomware Aur0ra |
| 172[.]86[.]113[.]245 | IP адрес | Сървър с отворена директория, използван в операции на ransomware Aur0ra |
Забележка: IP адресите и домейните са умишлено дефангирани (напр. [.]), за да се предотврати случайно разрешаване или превръщане в хипервръзки. Връщайте оригиналния вид само в контролирани платформи за заплахи като MISP, VirusTotal или вашия SIEM.