Aurora ransomware dùng Cursor AI trong các cuộc tấn công vào 10 mục tiêu
"Aurora ransomware operators were observed using Cursor AI/Agent, powered by Anthropic Claude Sonnet, to assist with planning and hands-on exploitation against multiple victims. The activity involved credentialed access, internal reconnaissance, NTLM relay and certificate abuse, and deployment of Aurora encryptors on Windows and Linux/ESXi systems; no CVE was identified in the report."
Rủi ro cao do AI được dùng để tự động hóa xâm nhập, kết hợp lạm dụng thông tin xác thực và mã hóa đa nền tảng. Không có CVE cụ thể, nên phòng thủ cần tập trung vào phát hiện hành vi và kiểm soát đặc quyền.
Có thể gây gián đoạn dịch vụ, mất dữ liệu và ảnh hưởng tới Windows/Linux/ESXi cùng lúc. Doanh nghiệp cần ưu tiên sao lưu ngoại tuyến, phân đoạn mạng và quy trình ứng phó sự cố.
Các nhà nghiên cứu từ CloudSEK và Gambit Security cho biết nhóm Aurora ransomware đã sử dụng Cursor AI/Agent để hỗ trợ lập kế hoạch và thực hiện xâm nhập vào hệ thống nạn nhân. Hoạt động được ghi nhận nhắm tới 10 mục tiêu trong giai đoạn 8/4 đến 21/5/2026, với việc tác nhân AI được cung cấp thông tin xác thực hoặc một đường vào sẵn có để thực hiện các bước khai thác tiếp theo.
Theo báo cáo, chuỗi tấn công gồm trinh sát nội bộ, quét mạng bằng Nmap hoặc NetExec, thử NTLM relay, khai thác AD CS bằng Certipy, và triển khai bộ mã hóa trên Windows, Linux và ESXi. Một số biến thể còn cố xóa Volume Shadow Copies, tắt System Restore và dừng máy ảo trước khi mã hóa.
Nhà nghiên cứu cũng ghi nhận mã độc được viết bằng Zig cho cả hai nền tảng, cùng dấu vết cho thấy tác nhân đã dùng Claude Sonnet trong Cursor để soạn kế hoạch tấn công bằng tiếng Nga. Do không có CVE cụ thể được nêu, trọng tâm phòng thủ nên là kiểm soát truy cập, giám sát hành vi bất thường, hạn chế NTLM relay, và tăng cường bảo vệ AD CS, Windows Defender và hạ tầng ESXi.