Fidye Yazılımı Operatörü Cursor Ajanını On Kurban Ağı İçinde Çalıştırdı

Gambit Security’in tehdit istihbarat ekibi, Aurora fidye yazılımı operasyonu hakkında ayrıntılı bir rapor yayımladı; rapor, 8 Nisan 2026 ile 21 Mayıs 2026 tarihleri arasında on hedef kuruluşta SpaceX’in Cursor AI kodlama ajanını kullanarak yapılan pratik istismarları gösteren altı haftalık oturum kayıtlarını içeriyor. İlk bulguları 27 Ağustos 2026’da duyuran Reuters, doğrulanmış ihlal edilen şirket sayısını en az yedi olarak belirtti.

Gambit’in tehdit istihbaratı direktörü Eyal Sela tarafından kaleme alınan ve 27 Ağustos 2026’da yayımlanan araştırma, grup ile ilişkili ortaya çıkan altyapıya dayanıyor; grup, bir veri sızıntı sitesi işletiyor ve yaklaşık Nisan 2026’dan beri aktif olduğu rapor edilmişti. Elde edilen materyal, operatörün Cursor Agent’ı ‘claude-4.5-sonnet-thinking’ model tanımlayıcısıyla canlı kurumsal ağlar üzerinde çalıştırdığını gösteriyor ve bu, bir saldırı betiğinden çok, bir kıdemli mühendisin çağrıda olduğu bir vardiyada çalışan genç bir saldırgan gibi görünüyor.

Cursor Oturumlarının Gösterdikleri

Ajanın kullanıldığı kurban ağlarında, operatör Cursor Agent’a kimlik bilgileri ya da mevcut bir giriş yolu verdi ve ardından onu şu istismar görevleriyle görevlendirdi: sağlanan kimlik bilgileri ya da mevcut bir SOCKS tüneli üzerinden bağlanmak için VPN istemcileri ya da proxychains kurup yapılandırmak; Nmap veya NetExec ile iç alt ağları taramak; NetExec’in BloodHound toplama aracını kullanarak alan ayrıcalıklarını listelemek; PetitPotam, Coerce Plus ve PrinterBug ile NTLM yönlendirme saldırıları için kimlik doğrulamayı zorlamak ve bu işlemi Impacket’in ntlmrelayx’i aracılığıyla yönlendirmek; ve Certipy ile sertifika saldırıları yürütmek.

Etkileşim modeli, üzerinde durulması gereken kısımdır. Bazen operatör sadece bir hedef verirdi, örneğin sağlanan bir kullanıcının hangi haklara sahip olduğunu raporlamak gibi. Bazen ajan sonraki adımları önerir ve saldırgan sadece bir numara yanıtı verirdi. Çoğu komut ilk denemede başarısız olur ve ajan, bazı görevler başarılı olana kadar ve diğerleri başarısız deneme raporu ile sonuçlanana kadar iyileştirmeler yaparak tekrar eder. Bu, ajan tabanlı kodlamada geliştiricilerin bildiği başarısızlık‑ve‑yeniden‑deneme döngüsünün, kurban ağına aktarılmış hâlidir.

Operatör ayrıca her kurbana aynı üç operasyonel‑güvenlik kısıtlamasını Rusça olarak tekrarladı: DCSync yok, bu en az beş mesajda kesinlikle yasak olarak tekrarlandı; hesap kilitlenmeleri yok, her şifre‑deneme ya da tahmin isteğine eklenmiş; ve domaine yeni bilgisayar nesneleri eklenmemeli. Bu kişi, bu üç eylemin bir ihlali yakalanmasına yol açtığını anladı ve ajanı bir kontrol listesi gibi bu kurallara göre eğitti.

ESXi İçin Oluşturulmuş Bir Linux Şifreleyici

Raporun diğer yarısı, Cloudflare R2’de barındırılan ve kurban ortamındaki birden fazla iç sunucuya manuel olarak kopyalanan 139 KB’lık bir ELF ikili dosya olarak elde edilen Aurora fidye yazılımının Linux varyantıdır. Dosyaları yerinde ChaCha20 ile şifreler, her oturum anahtarını gömülü bir RSA‑4096 açık anahtarla sarar ve özel bir ESXi moduna sahiptir.

Bu modda şifreleyici, esxcli ile çalışan sanal makineleri listeler, her misafiri zorla sonlandırarak sanal disk dosyalarındaki kilitleri serbest bırakır ve ardından hipervizörün sistem bölümlerini atlayarak VM dosyalarını şifreler — bilinçli olarak hostun önyüklenebilir kalmasını sağlayarak kurbanın fidye talebini okuyabilmesini sağlar. Ayrıca zorlayıcı metni SSH oturum açma banner’ına yazar, böylece makineye bağlanan herkes oturum açma isteminden önce talebi görür. Özel bir NetExec LDAP modülü olan esxi_finder.py, kurban ağlarını ESXi hipervizörleri ve vCenter sunucuları için tarar, TLS üzerinden tam sürüm bilgilerini tespit eder. Gambit, dosya özetlerini, komut‑ve‑kontrol adreslerini, SOCKS proxy altyapısını ve grubun müzakere portalı ile açık ağ sızıntı sitesini uzlaşı göstergeleri olarak yayınladı.

Farklı Ticaret Yöntemiyle İkinci Bir Küme

Gambit, orta güvenle, muhtemelen farklı bir kişi olabilecek bir Aurora operatörüne ikinci bir faaliyet kümesi atfeder. Bağlantı, Aurora’nın sızıntı sitesinde yayınladığı bir kuruluştan dokuz gün sonra veri alan bir dışarı aktarma kovasıdır. Bu küme, İsrail, Almanya, Avusturya, İspanya, Amerika Birleşik Devletleri ve Arjantin’de sekiz kurban kuruluşunu kapsar ve ilk kümenin dikkatini atlar: açık SQL Server xp_cmdshell üzerinden yan hareket, GodPotato ile SYSTEM yetkisine yükseltme, alan denetleyicisine karşı DCSync ve s5cmd ile kendi barındırdığı S3‑uyumlu depolamaya veri dışarı aktarma. Bu fark önemlidir: bir operatör DCSync’i dini bir titizlikle kaçınırken bir diğerinin bunu çalıştırması, tek bir oyun kitabı yerine düzensiz disipline sahip bir ekip olduğunu gösterir.

AI Destekli Saldırı Deseni Tekrarlıyor

Gambit, bu tür bir ihlali aylarca izliyor. 10 Nisan 2026 teknik raporu, tek bir operatörün dokuz devlet kurumuna karşı iki AI platformu çalıştırdığını belgeledi ve Ağustos 2026 araştırması AI’nin ihlal yaşam döngüsü boyunca gerçek dünya saldırılarının her aşamasına nasıl yayıldığını haritaladı. Black Kite 2026 fidye yazılımı raporu da benzer şekilde daha hızlı ve daha parçalanmış bir tehdit ekonomisini tanımlıyor. Aurora günlükleri, klavyede bunun nasıl göründüğüne dair şimdiye kadar kamuya açık en ayrıntılı kanıttır: kötü amaçlı yazılım üreten bir AI değil, her zaman erişilebilir bir istismar danışmanı olarak AI, el‑ele ağ ihlali için gereken beceri eşiğini düşürür.

Bu açıklama, aracın yeni sahibi için de zor bir zamana denk geliyor. Cursor — kendisini “hırslı yazılımlar geliştirmek için” kodlama ajanı olarak tanıtan, kendi sitesinde belirttiği gibi — 14 Ağustos 2026’da resmi olarak SpaceX’in bir parçası haline geldi ve raporun yayımlanmasından iki hafta önce 60 milyar dolarlık bir satın alımı tamamladı. Gambit’in bulguları, Cursor sistemlerinde herhangi bir arıza olduğunu iddia etmiyor; ajan, ücretli ya da sıradan bir araç olarak görülüyor ve sıradan erişimle kötüye kullanılmış. Gambit’in şimdi yayınladığı kayıt, savunuculara engellemek ve avlamak için somut altyapı sağlıyor ve sektöre, ajan tabanlı bir kodlama ürününün uçtan uca saldırı aracı olarak çalıştırıldığı belgelenmiş bir örnek sunuyor.