Ransomware‑operator gebruikte Cursor‑agent in tien slachtoffernetwerken

Het threat‑intelligence‑team van Gambit Security heeft een gedetailleerd verslag gepubliceerd van de Aurora‑ransomware‑operatie, inclusief zes weken aan sessielogs die laten zien hoe een operator SpaceX’s Cursor AI‑codeer‑agent inzet voor hands‑on exploitatie binnen tien doelorganisaties tussen 8 april 2026 en 21 mei 2026. Reuters, dat de bevindingen voor het eerst meldde op 27 augustus 2026, stelde dat het aantal bevestigde gecompromitteerde bedrijven ten minste zeven bedraagt.

Het onderzoek, geschreven door Gambit’s directeur threat intelligence Eyal Sela en gepubliceerd op 27 augustus 2026, is gebaseerd op blootgelegde infrastructuur die aan de groep wordt gekoppeld; deze exploiteert een datalek‑site en wordt sinds ongeveer april 2026 als actief gemeld. Het teruggevonden materiaal toont de operator die Cursor Agent draait met model‑identificatie claude-4.5-sonnet-thinking tegen live bedrijfsnetwerken, en het leest minder als een aanvalsscript dan als een juniorinbreker die een dienst draait met een senior‑engineer in de wacht.

Wat de Cursor‑sessies laten zien

In de slachtoffernetwerken waar de agent werd ingezet, gaf de operator Cursor Agent inloggegevens of een bestaande route, en stelde hem vervolgens in voor exploitatie‑taken: het installeren en configureren van VPN‑clients of proxychains om via geleverde inloggegevens of een bestaande SOCKS‑tunnel verbinding te maken; het scannen van interne subnetten met Nmap of NetExec; het enumereren van domeinprivileges met NetExec’s BloodHound‑collector; het dwingen van authenticatie voor NTLM‑relay‑aanvallen met PetitPotam, Coerce Plus en PrinterBug, gerelayd via Impacket’s ntlmrelayx; en het uitvoeren van certificaataanvallen met Certipy.

Het interactiepatroon is het deel dat de moeite waard is om te bestuderen. Soms gaf de operator alleen een doel, bijvoorbeeld het rapporteren welke rechten een geleverde gebruiker had. Soms stelde de agent volgende stappen voor en reageerde de aanvaller simpelweg met het nummer één. De meeste commando’s mislukten bij de eerste poging, en de agent herhaalde de handelingen met verfijningen totdat sommige taken slaagden en andere eindigden in een rapport van mislukte pogingen. Dat is dezelfde fout‑en‑herprobeer‑lus die elke ontwikkelaar kent van agent‑gebaseerd coderen, maar dan toegepast op een slachtoffernetwerk.

De operator legde bovendien bij elk slachtoffer dezelfde drie operationele‑beveiligingsbeperkingen op, in het Russisch, herhaaldelijk: geen DCSync, in ten minste vijf berichten categorisch verboden; geen account‑vergrendelingen, gekoppeld aan elke wachtwoord‑spray‑ of gokverzoek; en geen nieuwe computerobjecten aan het domein toevoegen. Wie dit ook was, begreep dat die drie handelingen een inbraak laten ontdekken, en trainde de agent daarop als een checklist.

Een Linux‑versleuteler gebouwd voor ESXi

De andere helft van het rapport is een Linux‑variant van de Aurora‑ransomware, teruggevonden als een ELF‑binary van 139 KB gehost op Cloudflare R2 en handmatig gekopieerd naar meerdere interne hosts in een slachtofferomgeving. Hij versleutelt bestanden ter plaatse met ChaCha20, waarbij elke sessiesleutel wordt omhuld met een ingebouwde RSA‑4096‑public‑key, en hij beschikt over een speciale ESXi‑modus.

In die modus enumerateert de versleuteler draaiende virtuele machines met esxcli, dwingt elke gast af te stoppen om vergrendelingen op virtuele schijfbestanden vrij te geven, en versleutelt vervolgens VM‑bestanden terwijl de systeemvolumes van de hypervisor worden overgeslagen — opzettelijk zodat de host opstartbaar blijft zodat het slachtoffer de losgeld‑eis kan lezen. Hij schrijft ook de afpersings­tekst in de SSH‑login‑banner, zodat iedereen die verbinding maakt met de machine de eis ziet vóór de inlogprompt. Een aangepast NetExec‑LDAP‑module, esxi_finder.py, scant slachtoffernetwerken op ESXi‑hypervisors en vCenter‑servers, en identificeert exacte builds via TLS. Gambit publiceerde bestands‑hashes, command‑and‑control‑adressen, SOCKS‑proxy‑infrastructuur, en het onderhandelingsportaal en clearnet‑lek‑site van de groep als indicatoren van compromittering.

Een tweede cluster met andere werkwijze

Gambit kent ook een tweede activiteitscluster toe aan een Aurora‑operator met gemiddelde zekerheid, mogelijk een andere persoon. De link is een exfiltratie‑bucket die gegevens ontving van een organisatie die Aurora negen dagen later op zijn lek‑site publiceerde. Dit cluster omvat acht slachtofferorganisaties in Israël, Duitsland, Oostenrijk, Spanje, de Verenigde Staten en Argentinië, en negeert de voorzichtigheid van het eerste: laterale beweging via een blootgestelde SQL‑Server‑xp_cmdshell, escalatie naar SYSTEM met GodPotato, DCSync tegen de domeincontroller, en exfiltratie met s5cmd naar zelfgehoste S3‑compatibele opslag. Het contrast is belangrijk: een operator die DCSync religieus vermijdt terwijl een andere het toepast, wijst op een team met ongelijke discipline in plaats van één enkel draaiboek.

Het AI‑ondersteunde inbraakpatroon komt terug

Gambit volgt dit inbraak‑patroon al maanden. Het technische rapport van 10 april 2026 documenteerde een enkele operator die twee AI‑platformen gebruikte tegen negen overheidsinstanties, en het onderzoek van augustus 2026 naar AI gedurende de inbraak‑levenscyclus kaartte hoe AI‑ondersteuning zich verspreidt over elke fase van echte aanvallen. Het Black Kite‑ransomware‑rapport 2026 beschrijft op vergelijkbare wijze een snellere, meer gefragmenteerde dreigings‑economie. De Aurora‑logs vormen het meest gedetailleerde openbare bewijs tot nu toe van hoe dat er aan het toetsenbord uitziet: niet AI die malware genereert, maar AI als een altijd‑beschikbare exploitatie‑consultant die de vaardigheidsdrempel voor hands‑on netwerk‑inbraken verlaagt.

De onthulling valt ook op een ongemakkelijk moment voor de nieuwe eigenaar van het gereedschap. Cursor — dat zichzelf positioneert als de codeer‑agent “voor het bouwen van ambitieuze software”, volgens de eigen site — werd formeel onderdeel van SpaceX op 14 augustus 2026, waarmee een overname van 60 miljard dollar twee weken voor publicatie van het rapport werd afgerond. Gambit’s bevindingen beweren geen falen in Cursor’s systemen; de agent lijkt een betaald of anderszins gewoon hulpmiddel te zijn, misbruikt via gewone toegang. Het door Gambit gepubliceerde dossier biedt verdedigers nu concrete infrastructuur om tegen te blokkeren en op te jagen, en levert de sector een gedocumenteerd geval van een agent‑gebaseerd codeerproduct dat van begin tot eind als aanvalsgereedschap wordt ingezet.