Nhà điều hành ransomware chạy Agent Cursor trong mười mạng lưới nạn nhân

Đội ngũ tình báo mối đe dọa của Gambit Security đã công bố một bản ghi chi tiết về chiến dịch ransomware Aurora, bao gồm sáu tuần nhật ký phiên cho thấy một người vận hành điều khiển agent mã nguồn Cursor AI của SpaceX thực hiện khai thác thực tế trong mười tổ chức mục tiêu từ ngày 8 tháng 4 năm 2026 đến ngày 21 tháng 5 năm 2026. Reuters, người đầu tiên báo cáo phát hiện này vào ngày 27 tháng 8 năm 2026, đưa số công ty bị xâm phạm đã xác nhận lên ít nhất bảy.

Cuộc điều tra, do giám đốc tình báo mối đe dọa của Gambit, Eyal Sela, viết và được công bố vào ngày 27 tháng 8 năm 2026, dựa trên cơ sở hạ tầng bị lộ liên quan tới nhóm này, nhóm đã vận hành một trang rò rỉ dữ liệu và được báo cáo hoạt động từ khoảng tháng 4 năm 2026. Tài liệu thu hồi cho thấy người vận hành chạy Cursor Agent với định danh mô hình claude-4.5-sonnet-thinking trên các mạng doanh nghiệp đang hoạt động, và nó giống hơn một kẻ xâm nhập cấp dưới làm ca với một kỹ sư cấp cao đang trực.

Những gì các Phiên Cursor cho thấy

Trong các mạng nạn nhân nơi agent được sử dụng, người vận hành cung cấp cho Cursor Agent thông tin đăng nhập hoặc một lối vào hiện có, sau đó giao cho nó nhiệm vụ khai thác: cài đặt và cấu hình khách VPN hoặc proxychains để kết nối qua thông tin đăng nhập đã cung cấp hoặc một đường hầm SOCKS hiện có; quét các mạng con nội bộ bằng Nmap hoặc NetExec; liệt kê quyền miền bằng bộ thu thập BloodHound của NetExec; ép buộc xác thực cho các cuộc tấn công chuyển tiếp NTLM bằng PetitPotam, Coerce Plus và PrinterBug, được chuyển tiếp qua ntlmrelayx của Impacket; và thực hiện các cuộc tấn công chứng chỉ bằng Certipy.

Mô hình tương tác là phần đáng để suy ngẫm. Đôi khi người vận hành chỉ đưa ra một mục tiêu, chẳng hạn như báo cáo quyền mà người dùng được cung cấp sở hữu. Đôi khi agent đề xuất các bước tiếp theo và kẻ tấn công chỉ trả lời bằng số một. Hầu hết các lệnh đều thất bại trong lần thử đầu tiên, và agent lặp lại qua các cải tiến cho đến khi một số nhiệm vụ thành công và những nhiệm vụ khác kết thúc bằng báo cáo các cố gắng thất bại. Đó là vòng lặp thất bại‑và‑thử lại mà bất kỳ nhà phát triển nào cũng biết từ lập trình có tính agent, được chuyển sang mạng của nạn nhân.

Người vận hành cũng áp đặt cùng ba ràng buộc an ninh hoạt động tại mỗi nạn nhân, bằng tiếng Nga, lặp đi lặp lại: không thực hiện DCSync, được nhắc lại ít nhất năm tin nhắn là hoàn toàn cấm; không khóa tài khoản, được gắn vào mọi yêu cầu tấn công mật khẩu hoặc đoán mật khẩu; và không thêm đối tượng máy tính mới vào miền. Ai là người này đã hiểu rằng ba hành động này là những gì khiến một cuộc xâm nhập bị phát hiện, và đã rèn luyện agent theo chúng như một danh sách kiểm tra.

Trình Mã Hoá Linux Được Xây Dựng cho ESXi

Phần còn lại của báo cáo là một biến thể Linux của ransomware Aurora, được khôi phục dưới dạng tệp nhị phân ELF 139 KB lưu trữ trên Cloudflare R2 và sao chép thủ công lên nhiều máy chủ nội bộ trong môi trường nạn nhân. Nó mã hoá các tệp tại chỗ bằng ChaCha20, gói mỗi khóa phiên bằng một khóa công RSA‑4096 nhúng, và nó có chế độ ESXi riêng.

Trong chế độ này, trình mã hoá liệt kê các máy ảo đang chạy bằng esxcli, buộc dừng mỗi máy khách để giải phóng các khóa trên tệp đĩa ảo, sau đó mã hoá các tệp VM trong khi bỏ qua các ổ hệ thống của hypervisor — cố ý để lại máy chủ có thể khởi động để nạn nhân có thể đọc yêu cầu tiền chuộc. Nó cũng ghi văn bản tống tiền vào biểu ngữ đăng nhập SSH, vì vậy bất kỳ ai kết nối tới máy sẽ thấy yêu cầu trước lời nhắc đăng nhập. Một mô-đun LDAP NetExec tùy chỉnh, esxi_finder.py, đã quét các mạng nạn nhân để tìm hypervisor ESXi và máy chủ vCenter, xác định dấu vân tay các bản dựng chính xác qua TLS. Gambit đã công bố các hàm băm tệp, địa chỉ command‑and‑control, cơ sở hạ tầng proxy SOCKS, và cổng đàm phán cũng như trang rò rỉ clearnet của nhóm như các chỉ báo xâm nhập.

Một Nhóm Hoạt Động Thứ Hai với Kỹ Thuật Khác nhau

Gambit cũng gán một cụm hoạt động thứ hai cho một người vận hành Aurora với độ tin cậy trung bình, có thể là một người khác. Liên kết là một bucket exfiltration đã nhận dữ liệu từ một tổ chức mà Aurora công bố trên trang rò rỉ của mình chín ngày sau. Cụm này bao gồm tám tổ chức nạn nhân trên khắp Israel, Đức, Áo, Tây Ban Nha, Hoa Kỳ và Argentina, và nó bỏ qua các biện pháp thận trọng của cụm đầu tiên: di chuyển ngang qua SQL Server bị lộ xp_cmdshell, leo thang lên SYSTEM bằng GodPotato, DCSync đối với bộ điều khiển miền, và exfiltration bằng s5cmd tới kho lưu trữ tương thích S3 tự lưu trữ. Sự tương phản này quan trọng: một người vận hành tránh DCSync một cách nghiêm ngặt trong khi người khác lại thực hiện nó cho thấy một đội ngũ có kỷ luật không đồng đều hơn là một kịch bản duy nhất.

Mô Hình Xâm Nhập Hỗ Trợ AI Đang Lặp Lại

Gambit đã theo dõi dạng xâm nhập này trong nhiều tháng. Báo cáo kỹ thuật ngày 10 tháng 4 năm 2026 của họ ghi lại một người vận hành duy nhất chạy hai nền tảng AI chống lại chín cơ quan chính phủ, và nghiên cứu tháng 8 năm 2026 của họ về AI trong suốt vòng đời xâm nhập đã lập bản đồ cách hỗ trợ AI lan truyền qua từng giai đoạn của các cuộc tấn công thực tế. Báo cáo ransomware Black Kite 2026 cũng mô tả một nền kinh tế mối đe dọa nhanh hơn, phân mảnh hơn. Các nhật ký Aurora là bằng chứng công khai chi tiết nhất đến nay về cách mà điều này trông như thế nào trên bàn phím: không phải AI tạo ra phần mềm độc hại, mà là AI như một cố vấn khai thác luôn sẵn sàng, hạ thấp ngưỡng kỹ năng cho việc xâm nhập mạng thực tế.

Tiết lộ này cũng rơi vào một thời điểm khó xử cho chủ sở hữu mới của công cụ. Cursor — tự quảng cáo là agent mã nguồn “để xây dựng phần mềm đầy tham vọng”, theo trang web của nó — chính thức trở thành một phần của SpaceX vào ngày 14 tháng 8 năm 2026, hoàn tất một vụ mua lại 60 tỷ USD hai tuần trước khi báo cáo được công bố. Các phát hiện của Gambit không cáo buộc bất kỳ sự cố nào trong hệ thống của Cursor; agent dường như là một công cụ trả phí hoặc thông thường, bị lạm dụng qua quyền truy cập bình thường. Bản ghi mà Gambit công bố hiện cung cấp cho các nhà phòng thủ hạ tầng cụ thể để chặn và truy tìm, và cung cấp cho ngành công nghiệp một trường hợp được ghi lại về một sản phẩm mã nguồn có tính agent được vận hành từ đầu đến cuối như một công cụ tấn công.