Ransomware‑operatör körde Cursor‑agent i tio drabbade nätverk

Gambit Securitys hotintelligens‑team har publicerat en detaljerad redogörelse för Aurora‑ransomware‑operationen, inklusive sex veckors sessionsloggar som visar en operatör som styr SpaceX:s Cursor AI‑kodningsagent genom praktisk exploatering i tio målorganisationer mellan 8 april 2026 och 21 maj 2026. Reuters, som först rapporterade fynden den 27 augusti 2026, angav antalet bekräftade drabbade företag till minst sju.

Undersökningen, skriven av Gambits chef för hotintelligens Eyal Sela och publicerad den 27 augusti 2026, bygger på exponerad infrastruktur kopplad till gruppen, som har drivit en dataläckasajt och rapporterats aktiv sedan ungefär april 2026. Det återvunna materialet visar operatören som kör Cursor Agent med modellidentifieraren claude-4.5-sonnet-thinking mot levande företagsnätverk, och det läses mer som en juniorintrångare som arbetar ett pass med en senior ingenjör i beredskap än som ett attackskript.

Vad Cursor‑sessionerna visar

I de drabbade nätverk där agenten användes överlämnade operatören Cursor Agent autentiseringsuppgifter eller en befintlig åtkomstväg och gav den sedan exploateringsuppdrag: installera och konfigurera VPN‑klienter eller proxychains för att ansluta via tillhandahållna uppgifter eller en befintlig SOCKS‑tunnel; skanna interna subnät med Nmap eller NetExec; lista domänprivilegier med NetExecs BloodHound‑samlande; tvinga fram autentisering för NTLM‑reläattacker med PetitPotam, Coerce Plus och PrinterBug, vidarebefordrade via Impackets ntlmrelayx; samt köra certifikatattacker med Certipy.

Interaktionsmönstret är den del som är värd att studera. Ibland gav operatören bara ett mål, till exempel att rapportera vilka rättigheter en given användare hade. Ibland föreslog agenten nästa steg och angriparen svarade helt enkelt med siffran ett. De flesta kommandon misslyckades på första försöket, och agenten itererade genom förfiningar tills vissa uppgifter lyckades och andra avslutades med en rapport om misslyckade försök. Det är samma fel‑och‑försök‑loop som varje utvecklare känner till från agentbaserad kodning, överfört till ett offers nätverk.

Operatören pålade också samma tre operativa‑säkerhetsrestriktioner för varje offer, på ryska, upprepade gånger: ingen DCSync, återupprepad i minst fem meddelanden som kategoriskt förbjuden; inga kontolåsningar, kopplade till varje lösenordssprut‑ eller gissningsförfrågan; och ingen tilläggning av nya datorobjekt till domänen. Den som detta var förstod att dessa tre åtgärder är det som får en intrång upptäckt, och tränade agenten på dem som en checklista.

En Linux‑krypterare byggd för ESXi

Rapportens andra del är en Linux‑variant av Aurora‑ransomware, återfunnen som en 139 KB ELF‑binär hostad på Cloudflare R2 och manuellt kopierad till flera interna värdar i ett offers miljö. Den krypterar filer på plats med ChaCha20, omsluter varje sessionsnyckel med en inbäddad RSA‑4096‑publik nyckel, och den har ett dedikerat ESXi‑läge.

I det läget listar krypteraren körande virtuella maskiner med esxcli, tvingar varje gäst att avslutas för att frigöra lås på virtuella diskfiler, och krypterar sedan VM‑filer samtidigt som hypervisorns systemvolymer hoppas över — med avsikt att låta värden förbli startbar så att offret kan läsa lösenkraven. Den skriver också utpressningstexten i SSH‑inloggningsbanner, så att alla som ansluter till maskinen ser kravet innan inloggningsprompten. En anpassad NetExec LDAP‑modul, esxi_finder.py, skannade offers nätverk efter ESXi‑hypervisorer och vCenter‑servrar, identifierade exakta versioner via TLS. Gambit publicerade fil‑hashar, styr‑och‑kontroll‑adresser, SOCKS‑proxy‑infrastruktur samt gruppens förhandlingsportal och clearnet‑läcksajt som indikatorer på kompromettering.

Ett andra kluster med annan arbetsmetodik

Gambit tillskriver också ett andra aktivitetskluster till en Aurora‑operatör med medelhög säkerhet, möjligen en annan person. Länken är en exfiltrerings‑bucket som mottog data från en organisation som Aurora publicerade på sin läcksajt nio dagar senare. Detta kluster omfattar åtta offers organisationer i Israel, Tyskland, Österrike, Spanien, USA och Argentina, och det hoppar över den försiktighet som fanns i det första: lateral rörelse via exponerad SQL Server‑xp_cmdshell, eskalering till SYSTEM med GodPotato, DCSync mot domänkontrollanten och exfiltrering med s5cmd till egenhostad S3‑kompatibel lagring. Kontrasten är viktig: en operatör som religiöst undviker DCSync medan en annan kör den tyder på ett team med ojämn disciplin snarare än en enda spelbok.

Det AI‑assisterade intrångsmönstret återkommer

Gambit har följt detta intrångsmönster i flera månader. Dess tekniska rapport 10 april 2026 dokumenterade en enskild operatör som körde två AI‑plattformar mot nio myndigheter, och dess augusti‑2026‑undersökning om AI över intrångslivscykeln kartlade hur AI‑assistans sprider sig genom varje fas av verkliga attacker. Black Kite‑rapporten om ransomware 2026 beskriver på liknande sätt en snabbare, mer fragmenterad hot‑ekonomi. Aurora‑loggarna är det mest detaljerade offentliga beviset hittills på hur det ser ut vid tangentbordet: inte AI som genererar skadlig kod, utan AI som en alltid tillgänglig exploateringskonsult som sänker kunskapsgränsen för praktisk nätverksintrång.

Uppenbarelsen inträffar också i ett besvärligt ögonblick för verktygets nya ägare. Cursor — som marknadsför sig som kodningsagenten ”för att bygga ambitiös programvara”, enligt sin egen webbplats — blev formellt en del av SpaceX den 14 augusti 2026, och avslutade ett förvärv på 60 miljarder dollar två veckor före rapportens publicering. Gambits fynd påstår inte någon brist i Cursors system; agenten verkar ha varit ett betalt eller på annat sätt vanligt verktyg, missbrukat genom vanlig åtkomst. Den registrering som Gambit publicerade ger nu försvarare konkret infrastruktur att blockera och jaga mot, och ger branschen ett dokumenterat fall av en agentbaserad kodningsprodukt som körs från början till slut som ett attackverktyg.