Operador de ransomware ejecutó Cursor Agent dentro de diez redes víctimas

El equipo de inteligencia de amenazas de Gambit Security ha publicado un relato detallado de la operación de ransomware Aurora, que incluye seis semanas de registros de sesiones que muestran a un operador manejando el agente de codificación Cursor AI de SpaceX mediante explotación práctica dentro de diez organizaciones objetivo entre el 8 de abril de 2026 y el 21 de mayo de 2026. Reuters, que informó por primera vez los hallazgos el 27 de agosto de 2026, indicó que el número de empresas confirmadas como vulneradas es de al menos siete.

La investigación, escrita por el director de inteligencia de amenazas de Gambit, Eyal Sela, y publicada el 27 de agosto de 2026, se basa en infraestructura expuesta asociada al grupo, que ha operado un sitio de filtración de datos y se ha reportado activo desde aproximadamente abril de 2026. El material recuperado muestra al operador ejecutando Cursor Agent con el identificador de modelo claude-4.5-sonnet-thinking contra redes empresariales en vivo, y se lee menos como un script de ataque que como un intruso junior trabajando en turno con un ingeniero senior de guardia.

Lo que muestran las sesiones de Cursor

En las redes víctimas donde se utilizó el agente, el operador entregó credenciales a Cursor Agent o una ruta de acceso existente, y luego le asignó tareas de explotación: instalar y configurar clientes VPN o proxychains para conectarse mediante credenciales suministradas o un túnel SOCKS existente; escanear subredes internas con Nmap o NetExec; enumerar privilegios de dominio con el colector BloodHound de NetExec; forzar la autenticación para ataques de retransmisión NTLM con PetitPotam, Coerce Plus y PrinterBug, retransmitidos a través de ntlmrelayx de Impacket; y ejecutar ataques de certificados con Certipy.

El patrón de interacción es la parte que vale la pena analizar. A veces el operador solo daba un objetivo, como informar qué derechos tenía un usuario suministrado. Otras veces el agente proponía los siguientes pasos y el atacante simplemente respondía con el número uno. La mayoría de los comandos fallaban en el primer intento, y el agente iteraba con refinamientos hasta que algunas tareas lograban éxito y otras terminaban como un informe de intentos fallidos. Ese es el mismo bucle de fallos y reintentos que cualquier desarrollador conoce en la codificación agente, trasladado a la red de la víctima.

El operador también impuso las mismas tres restricciones de seguridad operativa en cada víctima, en ruso, de forma repetida: no DCSync, reiterado en al menos cinco mensajes como categóricamente prohibido; no bloqueos de cuentas, asociado a cada intento de fuerza bruta o adivinación de contraseñas; y no añadir nuevos objetos de equipo al dominio. Quienquiera que fuera comprendió que esas tres acciones son las que hacen que una intrusión sea detectada, y entrenó al agente en ellas como una lista de verificación.

Un cifrador Linux creado para ESXi

La otra mitad del informe es una variante Linux del ransomware Aurora, recuperada como un binario ELF de 139 KB alojado en Cloudflare R2 y copiado manualmente en varios hosts internos dentro del entorno de la víctima. Cifra los archivos in situ con ChaCha20, envolviendo cada clave de sesión con una clave pública RSA‑4096 incrustada, y cuenta con un modo dedicado para ESXi.

En ese modo, el cifrador enumera las máquinas virtuales en ejecución con esxcli, finaliza a la fuerza cada invitado para liberar bloqueos en los archivos de discos virtuales, y luego cifra los archivos de VM omitiendo los volúmenes del sistema del hipervisor — dejando deliberadamente el host arrancable para que la víctima pueda leer la demanda de rescate. También escribe el texto de extorsión en el banner de inicio de sesión SSH, de modo que cualquier persona que se conecte a la máquina vea la demanda antes del prompt de inicio de sesión. Un módulo LDAP personalizado de NetExec, esxi_finder.py, escaneó redes víctimas en busca de hipervisores ESXi y servidores vCenter, identificando versiones exactas a través de TLS. Gambit publicó los hashes de archivos, direcciones de comando y control, infraestructura de proxy SOCKS y el portal de negociación del grupo y el sitio de filtración en clearnet como indicadores de compromiso.

Un segundo clúster con diferentes técnicas

Gambit también atribuye un segundo clúster de actividad a un operador de Aurora con confianza media, posiblemente una persona distinta. El vínculo es un bucket de exfiltración que recibió datos de una organización que Aurora publicó en su sitio de filtración nueve días después. Este clúster abarca ocho organizaciones víctimas en Israel, Alemania, Austria, España, Estados Unidos y Argentina, y omite la precaución del primero: movimiento lateral mediante xp_cmdshell expuesto de SQL Server, escalada a SYSTEM con GodPotato, DCSync contra el controlador de dominio y exfiltración con s5cmd a un almacenamiento compatible con S3 autoalojado. El contraste es importante: un operador que evita DCSync religiosamente mientras otro lo ejecuta sugiere un equipo con disciplina desigual más que un único manual de operaciones.

El patrón de intrusión asistida por IA se repite

Gambit ha estado siguiendo esta forma de intrusión durante meses. Su informe técnico del 10 de abril de 2026 documentó a un único operador ejecutando dos plataformas de IA contra nueve agencias gubernamentales, y su investigación de agosto de 2026 sobre IA a lo largo del ciclo de vida de la intrusión trazó cómo la asistencia de IA se está expandiendo en cada fase de los ataques del mundo real. El informe de ransomware Black Kite 2026 describe de manera similar una economía de amenazas más rápida y fragmentada. Los registros de Aurora son la evidencia pública más granular hasta la fecha de cómo se ve eso en el teclado: no IA generando malware, sino IA como un consultor de explotación siempre disponible que reduce la barrera de habilidades para la intrusión de red práctica.

La divulgación también llega en un momento incómodo para el nuevo propietario de la herramienta. Cursor — que se presenta como el agente de codificación “para crear software ambicioso”, según su propio sitio — se incorporó formalmente a SpaceX el 14 de agosto de 2026, cerrando una adquisición de 60 mil millones de dólares dos semanas antes de la publicación del informe. Las conclusiones de Gambit no acusan ninguna falla en los sistemas de Cursor; el agente parece haber sido una herramienta paga o, en cualquier caso, ordinaria, abusada mediante acceso regular. El registro que Gambit publicó ahora brinda a los defensores infraestructura concreta para bloquear y rastrear, y ofrece a la industria un caso documentado de un producto de codificación agente ejecutado de extremo a extremo como herramienta de ataque.