Operator Ransomware Menjalankan Cursor Agent di Sepuluh Jaringan Korban

Tim intelijen ancaman Gambit Security telah menerbitkan laporan terperinci tentang operasi ransomware Aurora, termasuk log sesi selama enam minggu yang menunjukkan seorang operator mengendalikan agen pemrograman AI Cursor milik SpaceX dalam eksploitasi langsung di dalam sepuluh organisasi target antara 8 April 2026 dan 21 Mei 2026. Reuters, yang pertama kali melaporkan temuan ini pada 27 Agustus 2026, mencatat jumlah perusahaan yang terkonfirmasi terdampak setidaknya tujuh.

Investigasi yang ditulis oleh direktur intelijen ancaman Gambit, Eyal Sela, dan dipublikasikan pada 27 Agustus 2026, didasarkan pada infrastruktur yang terungkap terkait kelompok tersebut, yang mengoperasikan situs kebocoran data dan dilaporkan aktif sejak sekitar April 2026. Materi yang dipulihkan menunjukkan operator menjalankan Cursor Agent dengan identifier model claude-4.5-sonnet-thinking pada jaringan perusahaan yang aktif, dan narasinya terasa lebih seperti seorang penyusup junior yang bekerja dalam shift dengan insinyur senior yang siaga, bukan sekadar skrip serangan.

Apa yang Ditunjukkan oleh Sesi Cursor

Di jaringan korban tempat agen digunakan, operator memberikan kredensial Cursor Agent atau rute yang sudah ada, kemudian menugaskannya melakukan pekerjaan eksploitasi: memasang dan mengonfigurasi klien VPN atau proxychains untuk terhubung melalui kredensial yang diberikan atau terowongan SOCKS yang ada; memindai subnet internal dengan Nmap atau NetExec; mengenumerasi hak domain dengan kolektor BloodHound milik NetExec; memaksa otentikasi untuk serangan relay NTLM menggunakan PetitPotam, Coerce Plus, dan PrinterBug, yang diteruskan melalui ntlmrelayx milik Impacket; serta menjalankan serangan sertifikat dengan Certipy.

Pola interaksi inilah yang patut diperhatikan. Kadang operator hanya memberikan tujuan, misalnya melaporkan hak apa yang dimiliki pengguna yang diberikan. Kadang agen mengusulkan langkah selanjutnya dan penyerang hanya menjawab dengan angka satu. Sebagian besar perintah gagal pada percobaan pertama, dan agen berulang‑ulang melakukan penyempurnaan hingga beberapa tugas berhasil sementara yang lain berakhir sebagai laporan kegagalan. Itulah loop gagal‑dan‑coba‑ulang yang dikenal oleh setiap pengembang dalam pemrograman agen, diterapkan pada jaringan korban.

Operator juga memberlakukan tiga batasan keamanan operasional yang sama pada setiap korban, dalam bahasa Rusia, berulang‑ulang: tidak ada DCSync, ditegaskan dalam setidaknya lima pesan sebagai larangan mutlak; tidak ada penguncian akun, diterapkan pada setiap permintaan penyemprotan kata sandi atau tebak kata sandi; dan tidak menambahkan objek komputer baru ke domain. Siapa pun yang melakukannya memahami bahwa ketiga tindakan tersebut merupakan pemicu terdeteksinya penyusupan, dan menekankan agen dengan cara daftar periksa.

Enkripsi Linux yang Dibuat untuk ESXi

Separuh laporan lainnya adalah varian Linux dari ransomware Aurora, dipulihkan sebagai berkas ELF berukuran 139 KB yang dihosting di Cloudflare R2 dan disalin secara manual ke beberapa host internal dalam lingkungan korban. Ia mengenkripsi berkas secara langsung dengan ChaCha20, membungkus setiap kunci sesi dengan kunci publik RSA‑4096 yang tersemat, dan memiliki mode khusus untuk ESXi.

Dalam mode tersebut, enkripsi memindai mesin virtual yang berjalan dengan esxcli, memaksa menghentikan setiap tamu untuk melepaskan kunci pada berkas disk virtual, lalu mengenkripsi berkas VM sambil melewatkan volume sistem hypervisor — sengaja meninggalkan host dapat di‑boot sehingga korban dapat membaca tuntutan tebusan. Ia juga menuliskan teks pemerasan ke banner login SSH, sehingga siapa pun yang terhubung ke mesin melihat tuntutan tersebut sebelum prompt login. Modul LDAP NetExec khusus, esxi_finder.py, memindai jaringan korban untuk hypervisor ESXi dan server vCenter, mengidentifikasi build tepat melalui TLS. Gambit mempublikasikan hash berkas, alamat command‑and‑control, infrastruktur proxy SOCKS, serta portal negosiasi grup dan situs kebocoran clearnet sebagai indikator kompromi.

Klaster Kedua dengan Teknik Berbeda

Gambit juga mengaitkan klaster aktivitas kedua kepada operator Aurora dengan keyakinan sedang, mungkin orang yang berbeda. Tautannya adalah bucket eksfiltrasi yang menerima data dari sebuah organisasi yang dipublikasikan Aurora di situs kebocorannya sembilan hari kemudian. Klaster ini mencakup delapan organisasi korban di Israel, Jerman, Austria, Spanyol, Amerika Serikat, dan Argentina, dan mengabaikan kehati‑hatian yang terlihat pada klaster pertama: pergerakan lateral melalui SQL Server xp_cmdshell yang terekspos, eskalasi ke SYSTEM dengan GodPotato, DCSync terhadap pengontrol domain, serta eksfiltrasi dengan s5cmd ke penyimpanan S3‑compatible yang di‑host sendiri. Kontras ini penting: satu operator yang secara religius menghindari DCSync sementara yang lain melakukannya menunjukkan tim dengan disiplin tidak merata, bukan satu panduan tunggal.

Pola Intrusi Berbantuan AI Berulang

Gambit telah melacak pola intrusi ini selama berbulan‑bulan. Laporan teknis 10 April 2026 mendokumentasikan satu operator yang menjalankan dua platform AI melawan sembilan lembaga pemerintah, dan risetnya pada Agustus 2026 tentang AI sepanjang siklus hidup intrusi memetakan bagaimana bantuan AI menyebar di setiap fase serangan dunia nyata. Laporan ransomware Black Kite 2026 juga menggambarkan ekonomi ancaman yang lebih cepat dan terfragmentasi. Log Aurora merupakan bukti publik paling terperinci hingga kini tentang bagaimana hal itu terlihat di keyboard: bukan AI yang menghasilkan malware, melainkan AI sebagai konsultan eksploitasi yang selalu tersedia dan menurunkan ambang keterampilan untuk intrusi jaringan secara langsung.

Pengungkapan ini juga muncul pada saat yang canggung bagi pemilik baru alat tersebut. Cursor — yang mengklaim dirinya sebagai agen pemrograman “untuk membangun perangkat lunak ambisius,” kata situsnya sendiri — secara resmi menjadi bagian dari SpaceX pada 14 Agustus 2026, menyelesaikan akuisisi senilai $60 miliar dua minggu sebelum publikasi laporan. Temuan Gambit tidak menuduh adanya kegagalan dalam sistem Cursor; agen tersebut tampaknya merupakan alat berbayar atau biasa yang disalahgunakan melalui akses standar. Catatan yang dipublikasikan Gambit kini memberikan defender infrastruktur konkret untuk diblokir dan diburu, serta memberikan industri contoh terdokumentasi tentang produk pemrograman agen yang dijalankan secara menyeluruh sebagai perangkat serangan.