랜섬웨어 운영자가 10개 피해 네트워크에서 Cursor 에이전트를 실행

Gambit Security의 위협 인텔리전스 팀은 Aurora 랜섬웨어 작전에 대한 상세 보고서를 공개했으며, 여기에는 2026년 4월 8일부터 5월 21일까지 6주간의 세션 로그가 포함되어 있어 운영자가 SpaceX의 Cursor AI 코딩 에이전트를 사용해 10개 대상 조직을 직접 악용한 모습을 보여줍니다. 2026년 8월 27일에 처음 이 결과를 보도한 Reuters는 확인된 침해 기업 수를 최소 7개로 추정했습니다.

이 조사는 Gambit의 위협 인텔리전스 디렉터인 Eyal Sela가 작성하고 2026년 8월 27일에 발표했으며, 그룹과 연관된 노출된 인프라를 기반으로 합니다. 해당 그룹은 데이터 유출 사이트를 운영해 왔으며 2026년 4월경부터 활동이 보고되었습니다. 복구된 자료는 운영자가 모델 식별자 claude-4.5-sonnet-thinking을 사용한 Cursor Agent를 실시간 기업 네트워크에 실행한 것을 보여주며, 이는 공격 스크립트라기보다 콜에 대기 중인 시니어 엔지니어와 함께 교대 근무를 하는 주니어 침입자와 더 비슷합니다.

Cursor 세션이 보여주는 내용

에이전트가 사용된 피해자 네트워크에서는 운영자가 Cursor Agent에 자격 증명이나 기존 진입 경로를 제공한 뒤, 다음과 같은 악용 작업을 지시했습니다: 제공된 자격 증명이나 기존 SOCKS 터널을 통해 VPN 클라이언트 또는 proxychains를 설치·구성; Nmap 또는 NetExec를 사용해 내부 서브넷 스캔; NetExec의 BloodHound 컬렉터로 도메인 권한 열거; PetitPotam, Coerce Plus, PrinterBug을 이용해 NTLM 릴레이 공격을 위한 인증 강제, 이를 Impacket의 ntlmrelayx를 통해 릴레이; Certipy를 사용한 인증서 공격 수행.

이러한 상호작용 패턴이 핵심입니다. 때때로 운영자는 “제공된 사용자가 어떤 권한을 가지고 있는지 보고하라”와 같은 목표만 제시했습니다. 또 때는 에이전트가 다음 단계를 제안하고 공격자는 단순히 번호 하나를 답했습니다. 대부분의 명령은 첫 시도에 실패했으며, 에이전트는 반복적으로 미세 조정을 거쳐 일부 작업은 성공하고 다른 작업은 실패 보고로 끝났습니다. 이는 에이전트 코딩에서 흔히 볼 수 있는 실패‑재시도 루프를 피해자 네트워크에 그대로 적용한 것입니다.

운영자는 모든 피해자에게 동일한 세 가지 운영 보안 제약을 러시아어로 반복해서 부과했습니다: DCSync 금지(다섯 번 이상의 메시지에서 명시적으로 금지); 비밀번호 스프레이·추측 요청마다 계정 잠금 방지; 도메인에 새로운 컴퓨터 객체 추가 금지. 이는 침입이 적발되는 주요 행위가 바로 이 세 가지라는 점을 이해하고, 체크리스트처럼 에이전트에게 지속적으로 강조한 것입니다.

ESXi용으로 구축된 Linux 암호화 프로그램

보고서의 다른 절반은 139KB ELF 바이너리 형태로 복구된 Aurora 랜섬웨어의 Linux 변형이며, Cloudflare R2에 호스팅된 뒤 피해자 환경의 여러 내부 호스트에 수동으로 복사되었습니다. 이 암호화 프로그램은 ChaCha20을 사용해 파일을 현장(en‑place)에서 암호화하고, 각 세션 키를 내장된 RSA‑4096 공개키로 감싸며, ESXi 전용 모드를 포함하고 있습니다.

ESXi 모드에서는 encryptor가 esxcli를 이용해 실행 중인 가상 머신을 열거하고, 각 게스트를 강제 종료해 가상 디스크 파일에 대한 잠금을 해제한 뒤, 하이퍼바이저의 시스템 볼륨을 건너뛰고 VM 파일을 암호화합니다—이는 호스트를 부팅 가능하게 남겨 피해자가 몸값 요구를 확인할 수 있도록 의도된 것입니다. 또한 SSH 로그인 배너에 갈취 문구를 삽입해 접속 시 로그인 프롬프트 전에 요구 사항을 표시합니다. 맞춤형 NetExec LDAP 모듈인 esxi_finder.py는 피해자 네트워크에서 ESXi 하이퍼바이저와 vCenter 서버를 스캔하고 TLS를 통해 정확한 빌드를 식별합니다. Gambit은 파일 해시, C2 주소, SOCKS 프록시 인프라, 협상 포털 및 클리어넷 유출 사이트를 지표로 공개했습니다.

다른 전술을 보이는 두 번째 클러스터

Gambit은 중간 신뢰 수준으로 Aurora 운영자와 연관된 두 번째 활동 클러스터를 추가로 지정했으며, 이는 다른 인물일 가능성이 있습니다. 해당 링크는 Aurora가 유출 사이트에 게시한 데이터를 9일 후에 수신한 탈취 버킷을 가리킵니다. 이 클러스터는 이스라엘, 독일, 오스트리아, 스페인, 미국, 아르헨티나에 걸친 8개 피해 조직을 포함하며, 첫 번째 클러스터와는 달리 노출된 SQL Server xp_cmdshell을 통한 횡 이동, GodPotato를 이용한 SYSTEM 권한 상승, 도메인 컨트롤러에 대한 DCSync, s5cmd를 이용한 자체 호스팅 S3‑호환 스토리지로의 탈취 등을 수행합니다. 이러한 차이는 의미가 있습니다—한 운영자는 DCSync을 엄격히 회피하고 다른 운영자는 이를 사용한다는 점은 단일 플레이북이라기보다 규율이 고르지 않은 팀을 시사합니다.

AI 지원 침입 패턴이 반복되고 있다

Gambit은 수개월 동안 이와 같은 침입 형태를 추적해 왔습니다. 2026년 4월 10일 기술 보고서에서는 단일 운영자가 9개 정부 기관을 대상으로 두 개의 AI 플랫폼을 사용한 사례를 문서화했으며, 2026년 8월 연구인 AI across the intrusion lifecycle는 AI 지원이 실제 공격의 각 단계에 어떻게 확산되고 있는지를 매핑했습니다. Black Kite 2026 랜섬웨어 보고서 역시 더 빠르고 파편화된 위협 경제를 설명합니다. Aurora 로그는 키보드에서 일어나는 모습을 가장 세밀하게 공개한 공개 증거이며, 이는 AI가 악성코드를 생성하는 것이 아니라 언제든지 활용 가능한 악용 컨설턴트 역할을 수행해 실전 네트워크 침입의 진입 장벽을 낮춘다는 것을 보여줍니다.

이 공개는 도구의 새로운 소유주에게도 난처한 시점에 이루어졌습니다. Cursor는 “야심찬 소프트웨어를 구축하기 위한 코딩 에이전트”라고 자체 사이트에 밝히고 있으며(its own site says), 2026년 8월 14일에 SpaceX에 정식 인수되어 보고서 발표 두 주 전에 600억 달러 규모의 인수를 완료했습니다. Gambit의 발견은 Cursor 시스템에 어떠한 결함도 주장하지 않으며, 해당 에이전트는 일반적인 접근을 통해 남용된 유료 또는 일반 도구였던 것으로 보입니다. Gambit이 지금 공개한 기록은 방어자에게 차단 및 사냥을 위한 구체적인 인프라를 제공하고, 업계에 에이전트 기반 코딩 제품이 공격 도구로 전면 활용된 사례를 문서화한 사례를 제공합니다.