Volgens bevindingen van CloudSEK en Gambit Security zijn bedreigingsactoren geassocieerd met Aurora (ook bekend als Aur0ra) ransomware waargenomen met behulp van SpaceX’s kunstmatige intelligentie (AI)-aangedreven coderingsassistent Cursor om in te breken in doelnetwerken.
De twee onafhankelijke analyses zijn gebaseerd op de blootgestelde infrastructuur die verband houdt met de Russischsprekende cybercriminaliteitsgroep, wat heeft geleid tot de ontdekking van zijn toolkit, shell-geschiedenis en encryptor. CloudSEK zei dat de blootgestelde open directory “maanden aan activiteit” lekte die tussen april en juli 2026 actief was tegen meer dan twintig organisaties in negen landen. Vier van die slachtoffers zijn sindsdien vermeld op de dataleksite.
“De operator gebruikte Cursor, een agentische coderingsassistent, om aanvallen in het Russisch te plannen, zonder uitzondering van CIS-bereiken (Commonwealth of Independent States) en GOS-landdomeinen”, merkte CloudSEK op.
Details over Aurora kwamen voor het eerst naar voren eind mei 2026, waarbij CYFIRMA aanvallen benadrukte die voornamelijk gericht waren op Windows-systemen en de voortdurende technische ontwikkeling ervan door middel van incrementele updates en uitbreiding van functies. Gegevens van Ransomware.Live vermelden 33 slachtoffers in de VS, Duitsland, Nederland, Canada en het VK
In één geval dat eerder deze maand door Black Hills Information Security werd beschreven, werd aanvankelijke toegang verkregen via agressieve e-mailbombardementen, gevolgd door het voeren van telefoontjes naar werknemers door zich voor te doen als IT-helpdeskpersoneel om hen te helpen bij het oplossen van het probleem, om vervolgens toegang op afstand tot stand te brengen met behulp van een open source hulpprogramma genaamd Xray-core.
De aanvalsketen omvat vervolgens zijdelingse bewegingen via SMB, LDAP, WinRM, RDP en RPC, waarbij toegang wordt verkregen tot beheerdersaccounts met hoge bevoegdheden en deze worden misbruikt om detectie te omzeilen door logboeken te wissen en Microsoft Defender uit te schakelen voordat gevoelige gegevens worden verzameld en geëxfiltreerd en de encryptor wordt geïmplementeerd.
CloudSEK zei dat het zowel Windows- als Linux-versies van Aurora, geschreven in Zig, heeft geïdentificeerd. De herstelde chatgeschiedenis van de operator laat zien dat Cursor intensief wordt gebruikt voor het plannen van verschillende fasen van de aanval. Dit omvat een volledig Active Directory Certificate Services (AD CS)-exploitatieplan, geschreven in het Russisch.
“Beide encryptor binaire bestanden, de Windows sap.exe en de Linux/ESXi encrypt.out, zijn statische builds van een enkele Zig-codebase, samengesteld voor verschillende doelen in plaats van tweemaal geschreven”, aldus het bedrijf. “Het Windows-binaire bestand bevat zelfs de gebruiksvoorbeelden van de Linux-build, een overblijfsel van het delen van één bronboom op beide platforms.”
De Windows-variant is ook uitgerust om systeemherstel te belemmeren door volumeschaduwkopieën te verwijderen en Systeemherstel rechtstreeks via het register uit te schakelen. De Linux- en ESXi-variant daarentegen probeert elke virtuele machine op de host met geweld te doden voordat de codering wordt gestart.
Bovendien zou een sleutel die is teruggevonden uit de Aurora-encryptor toegang hebben verleend tot een onderhandeling over losgeld tussen de dreigingsactoren en een niet nader gespecificeerd slachtoffer, en tot een cluster van vier cryptocurrency-portefeuilles die verschillende verdeeldheid vertonen tussen aangesloten bedrijven en de belangrijkste exploitanten. Gebleken is dat aangesloten bedrijven ergens tussen de 54% en 79% korting krijgen, terwijl de rest naar de beheerders gaat.
Dit geeft aan dat de verlaging van het losgeldbedrag per slachtoffer wordt bepaald en afhangt van het gevraagde losgeldbedrag en de inkomstencijfers van het slachtoffer. Het illegale geld werd vervolgens witgewassen en uitbetaald.
Gambit Security, dat zijn eigen inzichten in de activiteit vrijgaf, zei dat het de Aurora-operator had waargenomen die tussen 8 april en 21 mei 2026 Cursor Agent gebruikte, met Claude Sonnet van Anthropic, om te helpen bij praktische exploitatie tegen 10 doelen.
“In deze gevallen kreeg de agent inloggegevens of een bestaande route naar de slachtofferorganisatie”, zegt Eyal Sela, directeur dreigingsinformatie bij Gambit Security. “Vervolgens kreeg het de opdracht om verschillende exploitatieactiviteiten uit te voeren.”
“De agent was belast met standaard exploitatietaken. In sommige gevallen vroeg de aanvaller de agent alleen om een doel te bereiken, zoals ‘vertel me welke rechten de gebruiker heeft’, terwijl hij in andere gevallen de agent vertelde welke exploitatietool hij moest gebruiken of hem de opdracht gaf een eerder gegenereerd aanvalsplan te volgen. In sommige gevallen gaf de agent een lijst met mogelijke volgende stappen – en het enige wat de aanvaller deed was antwoorden met een nummer dat met een van hen correspondeerde.”
Enkele van de taken die aan de agent zijn overgedragen, worden hieronder vermeld:
- Een VPN-client of proxychains installeren, deze vervolgens configureren en verbinding maken met een slachtoffer met de opgegeven inloggegevens of een bestaande SOCKS-tunnel
- De interne subnetten scannen op hosts met Nmap of NetExec
- Het inventariseren van het domein om te rapporteren welke rechten een opgegeven gebruiker heeft, met behulp van de BloodHound-verzamelaar van NetExec
Proberen van NTLM-relay-aanvallen door authenticatie af te dwingen met PetitPotam, Coerce Plus en PrinterBug, en Impacket ntlmrelayx te gebruiken om de resulterende authenticatie door te geven
Certificaataanvallen uitvoeren met Certipy
“Het merendeel van de commando’s slaagde er bij de eerste poging niet in om het gestelde doel te bereiken, wat resulteerde in meerdere verfijningen en wijzigingen in de commando’s en scripts die voor elke taak werden gebruikt”, aldus Gambit. “Sommigen slaagden er uiteindelijk in het doel te bereiken, terwijl anderen faalden en alleen een rapport van de pogingen teruggaven aan de aanvaller.”
Bovendien hebben aanvallen op de Linux-versie gebruik gemaakt van een Python-script (“esxi_finder.py”) om te scannen op VMware ESXi-hypervisors en vCenter-servers binnen een slachtoffernetwerk.
De ontwikkeling is het nieuwste voorbeeld van hoe slechte actoren vertrouwen op commerciële AI-instrumenten om cyberaanvallen uit te voeren, zelfs nu modelaanbieders meer vangrails implementeren om misbruik te voorkomen. De namen van de getroffen bedrijven zijn niet bekendgemaakt, maar Reuters zei dat het Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, een Argentijnse farmaceutische distributeur en een Italiaanse fabrikant waren.
Gryxa Toolkit verschijnt
Het volgt ook op de ontdekking van een nieuwe AI-ondersteunde toolkit genaamd Gryxa, die door een financieel gemotiveerde bedreigingsacteur wordt gebruikt om een initiële-toegangsoperatie uit te voeren gericht op 324 hosts. ReliaQuest zei dat Gryxa het eerste geval vertegenwoordigt dat het heeft waargenomen waarbij AI is gebruikt om de hele operatie op te bouwen, vanaf de toolkit tot de console waarop het wordt uitgevoerd.
“Gryxa verandert legitieme software voor monitoring en beheer op afstand (RMM) in geheime toegang, houdt de toegang levend via verschillende herstartmechanismen die onafhankelijk van elkaar werken, en steelt vervolgens inloggegevens die zijn opgeslagen in Chromium-gebaseerde browsers”, aldus het bedrijf.
“Het escaleert ook tegen eindpuntbescherming wanneer de verbinding met de actor wordt onderbroken, waardoor de beveiligingsagent wordt uitgeschakeld of geprobeerd wordt te verwijderen. Samen geven deze mogelijkheden de actor duurzame toegang tot een host en stellen hem in staat cryptocurrency-portefeuilles te stelen.”
Er zijn aanwijzingen dat de dreigingsactor achter de operatie een AI-codeeragent heeft gejailbreakt door het hele ontwikkelingsproces door te geven als een ‘geautoriseerde interne implementatie’. Gryxa wordt waarschijnlijk afgeleverd via phishing-e-mails.
Eenmaal uitgevoerd op een gecompromitteerde host, zorgt het voor persistentie met behulp van geplande taken en kan het de app-bound encryptie (ABE)-beveiligingen van Chromium omzeilen om inloggegevens van webbrowsers te stelen. De verzamelde inloggegevens worden via Telegram verzonden.
Misschien wel het meest ongebruikelijke aspect van Gryxa is dat het de herstelinspanningen registreert en deze terugrapporteert aan de dreigingsactor. Concreet verzamelt een verborgen malwarecomponent, nadat het zichtbare RMM-implantaat is verwijderd, Windows-logboeken en hostartefacten en uploadt deze naar een door de aanvaller gecontroleerde infrastructuur.
Bovendien, als het relais van de actor onbereikbaar wordt, probeert Gryxa binnen ongeveer 10-13 minuten alle endpoint protection agents zoals Microsoft Defender en anderen uit te schakelen en te verwijderen. Zodra het relais toegankelijk is, schakelt de toolkit Defender opnieuw in.
“De Gryxa-component verzamelde en uploadde alleen; er werd niet onderzocht wat er nodig was”, aldus ReliaQuest. “De acteur trekt een conclusie over welke tool de verwijdering heeft uitgevoerd, welk account deze heeft uitgevoerd en in welke volgorde na ontvangst van het archief.”
“De console van de acteur bevat een kant-en-klare taak met de naam collect-forensics, wat aangeeft dat dit een routinefunctie is en geen reactie op één incident. Gryxa roteert zijn logbestanden wanneer deze groter zijn dan 200 KB, wat betekent dat recente activiteit bewaard blijft voor een hulpverlener die snel handelt.”
