ผู้กระทำ ransomware ใช้ Cursor Agent ภายในเครือข่ายของเหยื่อสิบแห่ง

ทีมข่าวกรองภัยคุกคามของ Gambit Security ได้เผยแพร่รายงานรายละเอียดของการดำเนินการ การดำเนินการ ransomware Aurora รวมถึงบันทึกเซสชันหกสัปดาห์ที่แสดงให้เห็นผู้ดำเนินการควบคุม Cursor AI coding agent ของ SpaceX ทำการโจมตีแบบทำมือภายในสิบองค์กรเป้าหมายระหว่างวันที่ 8 เมษายน 2026 ถึง 21 พฤษภาคม 2026 Reuters ซึ่งเป็นสำนักข่าวที่รายงานผลการค้นพบครั้งแรกเมื่อ 27 สิงหาคม 2026 ระบุว่ามีบริษัทที่ยืนยันว่าถูกแฮ็กอย่างน้อยเจ็ดบริษัท

การสอบสวนซึ่งเขียนโดยผู้อำนวยการข่าวกรองภัยคุกคามของ Gambit คือ Eyal Sela และเผยแพร่เมื่อ 27 สิงหาคม 2026 พึ่งพาโครงสร้างพื้นฐานที่เปิดเผยซึ่งเชื่อมโยงกับกลุ่มนี้ ซึ่งได้ดำเนินการเว็บไซต์รั่วข้อมูลและถูกระบุว่ามีกิจกรรมตั้งแต่ประมาณเดือนเมษายน 2026 วัสดุที่กู้คืนแสดงให้เห็นผู้ดำเนินการเรียกใช้ Cursor Agent ด้วยตัวระบุรุ่น claude-4.5-sonnet-thinking บนเครือข่ายองค์กรแบบเรียลไทม์ และดูแล้วไม่เหมือนสคริปต์การโจมตีแต่คล้ายกับผู้แทรกซึมระดับจูเนียร์ทำงานในกะพร้อมวิศวกรอาวุโสที่อยู่ในสาย

สิ่งที่เซสชันของ Cursor แสดง

ในเครือข่ายของเหยื่อที่ใช้เอเจนต์นี้ ผู้ดำเนินการมอบข้อมูลรับรองหรือเส้นทางที่มีอยู่ให้กับ Cursor Agent แล้วสั่งให้ทำงานการเจาะระบบ: การติดตั้งและกำหนดค่าไคลเอนต์ VPN หรือ proxychains เพื่อเชื่อมต่อผ่านข้อมูลรับรองที่ให้หรืออุโมงค์ SOCKS ที่มีอยู่; การสแกนซับเน็ตภายในด้วย Nmap หรือ NetExec; การสำรวจสิทธิ์โดเมนด้วยตัวเก็บข้อมูล BloodHound ของ NetExec; การบังคับให้ทำการรับรองสำหรับการโจมตี NTLM relay ด้วย PetitPotam, Coerce Plus, และ PrinterBug ที่ส่งต่อผ่าน ntlmrelayx ของ Impacket; และการดำเนินการโจมตีใบรับรองด้วย Certipy

รูปแบบการโต้ตอบเป็นส่วนที่ควรใคร่ครวญ บางครั้งผู้ดำเนินการให้เพียงวัตถุประสงค์ เช่น รายงานว่าผู้ใช้ที่ให้มามีสิทธิ์อะไรบ้าง บางครั้งเอเจนต์เสนอขั้นตอนต่อไปและผู้โจมตีตอบเพียงหมายเลขหนึ่ง คำสั่งส่วนใหญ่ล้มเหลวในครั้งแรกและเอเจนต์จึงทำการปรับปรุงจนบางงานสำเร็จและบางงานจบด้วยรายงานความพยายามที่ล้มเหลว นี่คือวงจรความล้มเหลวและลองใหม่ที่นักพัฒนาทุกคนคุ้นเคยจากการเขียนโค้ดแบบเอเจนต์ ซึ่งถูกถ่ายโอนไปยังเครือข่ายของเหยื่อ

ผู้ดำเนินการยังบังคับใช้ข้อจำกัดด้านความปลอดภัยการดำเนินงานสามประการเดียวกันในทุกเหยื่อเป็นภาษารัสเซียซ้ำ ๆ: ไม่ทำ DCSync ซึ่งถูกระบุอย่างชัดเจนในอย่างน้อยห้าข้อความ; ไม่ให้บัญชีถูกล็อก ซึ่งแนบกับทุกคำขอการสุ่มรหัสผ่านหรือการเดา; และไม่เพิ่มวัตถุคอมพิวเตอร์ใหม่ลงในโดเมน ผู้ใดเป็นผู้ดำเนินการนี้เข้าใจว่าการกระทำทั้งสามนี้คือสิ่งที่ทำให้การบุกรุกถูกตรวจจับและจึงฝึกเอเจนต์ให้ทำตามเหมือนเช็คลิสต์

เครื่องเข้ารหัส Linux ที่สร้างสำหรับ ESXi

ครึ่งหนึ่งของรายงานคือเวอร์ชัน Linux ของ ransomware Aurora ที่กู้คืนเป็นไฟล์ ELF ขนาด 139 KB โฮสต์บน Cloudflare R2 และคัดลอกด้วยมือไปยังโฮสต์ภายในหลายเครื่องในสภาพแวดล้อมของเหยื่อ มันเข้ารหัสไฟล์ในที่เดิมด้วย ChaCha20 โดยหุ้มคีย์เซสชันแต่ละคีย์ด้วยคีย์สาธารณะ RSA‑4096 ที่ฝังอยู่และมีโหมดพิเศษสำหรับ ESXi

ในโหมดนั้นเครื่องเข้ารหัสจะสำรวจเครื่องเสมือนที่กำลังทำงานด้วย esxcli ทำการบังคับปิดเครื่องแขกแต่ละเครื่องเพื่อปลดล็อกไฟล์ดิสก์เสมือน แล้วเข้ารหัสไฟล์ VM ขณะข้ามโวลุ่มระบบของไฮเปอร์ไวเซอร์โดยเจตนาทิ้งให้โฮสต์ยังบูตได้เพื่อให้เหยื่อสามารถอ่านข้อเรียกร้องค่าไถ่ได้ นอกจากนี้ยังเขียนข้อความบังคับเรียกค่าไถ่ลงในแบนเนอร์การเข้าสู่ระบบ SSH เพื่อให้ผู้ใดเชื่อมต่อกับเครื่องก็เห็นข้อเรียกร้องก่อนหน้าจอเข้าสู่ระบบ โมดูล LDAP ของ NetExec ที่กำหนดเองชื่อ esxi_finder.py ได้สแกนเครือข่ายของเหยื่อเพื่อค้นหาไฮเปอร์ไวเซอร์ ESXi และเซิร์ฟเวอร์ vCenter พร้อมระบุรุ่นที่แม่นยำผ่าน TLS Gambit ได้เผยแพร่แฮชไฟล์ ที่อยู่คอมมานด์แอนด์คอนโทรล โครงสร้างพร็อกซี่ SOCKS และพอร์ทัลเจรจาต่อรองของกลุ่มรวมถึงเว็บไซต์รั่วข้อมูลบนคลีแอรเน็ตเป็นตัวบ่งชี้ของการเจาะระบบ

กลุ่มกิจกรรมที่สองพร้อมแนวทางการทำงานที่แตกต่าง

Gambit ยังระบุว่ากลุ่มกิจกรรมที่สองนี้เชื่อมโยงกับผู้ดำเนินการ Aurora ด้วยความเชื่อมั่นระดับกลาง ซึ่งอาจเป็นบุคคลคนอื่น ลิงก์ที่เกี่ยวข้องเป็นถังข้อมูลที่ถูกส่งออกซึ่งได้รับข้อมูลจากองค์กรที่ Aurora เผยบนเว็บไซต์รั่วข้อมูลของตนเมื่อเก้าวันต่อมา กลุ่มนี้ครอบคลุมองค์กรเหยื่อแปดแห่งในอิสราเอล เยอรมนี ออสเตรีย สเปน สหรัฐอเมริกา และอาร์เจนตินา และละเว้นข้อควรระวังของกลุ่มแรก: การเคลื่อนที่ด้านข้างผ่าน SQL Server ที่เปิด xp_cmdshell, การยกระดับเป็น SYSTEM ด้วย GodPotato, DCSync ต่อโดเมนคอนโทรลเลอร์, และการส่งออกข้อมูลด้วย s5cmd ไปยังที่เก็บข้อมูลที่เข้ากันได้กับ S3 ที่โฮสต์เอง ความแตกต่างนี้สำคัญ: ผู้ดำเนินการคนหนึ่งหลีกเลี่ยง DCSync อย่างเคร่งครัดในขณะที่อีกคนหนึ่งใช้มัน แสดงให้เห็นว่ากลุ่มมีวินัยที่ไม่สม่ำเสมอมากกว่าการใช้คู่มือเดียว

รูปแบบการบุกรุกที่ได้รับการช่วยเหลือจาก AI ปรากฏซ้ำ

Gambit ได้ติดตามรูปแบบการบุกรุกนี้มาหลายเดือน รายงานเชิงเทคนิค รายงานเชิงเทคนิค 10 เมษายน 2026 ของพวกเขาได้บันทึกผู้ดำเนินการคนเดียวที่ใช้แพลตฟอร์ม AI สองชุดต่อสำนักงบประมาณรัฐบาลเก้แห่ง และการวิจัยในเดือนสิงหาคม 2026 AI ตลอดวงจรการบุกรุก ได้แมปว่าการช่วยเหลือจาก AI กำลังแพร่หลายผ่านแต่ละขั้นตอนของการโจมตีในโลกจริง รายงาน ransomware Black Kite 2026 ก็อธิบายถึงเศรษฐกิจภัยคุกคามที่เร็วขึ้นและกระจายมากขึ้น บันทึก Aurora เป็นหลักฐานสาธารณะที่ละเอียดที่สุดจนถึงตอนนี้ว่าการทำงานที่คีย์บอร์ดเป็นอย่างไร: ไม่ใช่ AI สร้างมัลแวร์ แต่เป็น AI ที่ทำหน้าที่เป็นที่ปรึกษาการเจาะระบบที่พร้อมให้บริการตลอดเวลา ลดระดับทักษะที่จำเป็นสำหรับการบุกรุกเครือข่ายแบบทำมือ

การเปิดเผยนี้ยังเกิดขึ้นในช่วงเวลาที่ไม่สะดวกสำหรับเจ้าของเครื่องมือใหม่ Cursor — ซึ่งอ้างว่าเป็นเอเจนต์การเขียนโค้ด “สำหรับสร้างซอฟต์แวร์ที่ทะเยอทะยาน” ตามที่เว็บไซต์ของตนระบุ — ได้กลายเป็นส่วนหนึ่งของ SpaceX อย่างเป็นทางการเมื่อ 14 สิงหาคม 2026 ปิดการซื้อกิจการมูลค่า 60 พันล้านดอลลาร์สหรัฐสองสัปดาห์ก่อนการเผยแพร่รายงาน ผลการวิจัยของ Gambit ไม่ได้กล่าวหา Cursor ว่ามีความล้มเหลวในระบบ; เอเจนต์ดูเหมือนเป็นเครื่องมือที่จ่ายค่าใช้จ่ายหรือเครื่องมือปกติที่ถูกใช้ผิดวิธีผ่านการเข้าถึงทั่วไป บันทึกที่ Gambit เผยแพร่ตอนนี้ให้ข้อมูลโครงสร้างพื้นฐานที่แน่นอนแก่ผู้ป้องกันเพื่อบล็อกและล่าตาม และให้วงการมีกรณีศึกษาที่บันทึกไว้ของผลิตภัณฑ์การเขียนโค้ดแบบเอเจนต์ที่ดำเนินการจากต้นจนจบเป็นเครื่องมือการโจมตี