勒索软件运营者在十个受害网络内部署 Cursor 代理

Gambit Security 的威胁情报团队已发布对 Aurora 勒索软件行动 的详细报告，其中包括六周的会话日志，显示一名运营者在 2026 年 4 月 8 日至 5 月 21 日期间，驱动 SpaceX 的 Cursor AI 编码代理在十个目标组织内部进行现场利用。路透社于 2026 年 8 月 27 日首次报道了此发现，并将已确认被攻破的公司数量定为至少七家。

该调查由 Gambit 的威胁情报总监 Eyal Sela 撰写，并于 2026 年 8 月 27 日发布，基于与该组织关联的已暴露基础设施，该组织运营了一个数据泄露站点，并自约 2026 年 4 月起被报告活跃。恢复的材料显示，运营者使用模型标识符 claude-4.5-sonnet-thinking 运行 Cursor Agent 对实时企业网络进行攻击，其表现更像是一名初级入侵者在值班期间与一位随叫随到的高级工程师协作，而非单纯的攻击脚本。

Cursor 会话显示的内容

在使用该代理的受害网络中，运营者向 Cursor Agent 提供凭证或已有的入口路径，然后指派其执行利用任务：安装并配置 VPN 客户端或 proxychains 通过提供的凭证或已有的 SOCKS 隧道进行连接；使用 Nmap 或 NetExec 扫描内部子网；使用 NetExec 的 BloodHound 收集器枚举域权限；利用 PetitPotam、Coerce Plus 和 PrinterBug 强制身份验证以进行 NTLM 中继攻击，并通过 Impacket 的 ntlmrelayx 转发；以及使用 Certipy 发起证书攻击。

值得细细品味的是交互模式。有时运营者只给出一个目标，例如报告所提供用户拥有的权限。也有时代理会提出后续步骤，而攻击者仅以数字“1”作答。大多数命令在首次尝试时失败，代理会不断迭代优化，直至部分任务成功，而其余则以失败报告结束。这正是任何开发者熟悉的失败‑重试循环，在受害者网络上被重新演绎。

运营者还在每个受害者处以俄语反复强制执行相同的三项运营安全约束：禁止 DCSync（在至少五条信息中明确禁止）；禁止账户锁定（在每次密码喷射或猜测请求时附加此要求）；以及禁止向域中添加新计算机对象。无论此人是谁，都明白这三项行为是导致入侵被发现的关键，并像检查清单一样对代理进行严格约束。

为 ESXi 构建的 Linux 加密器

报告的另一部分是一款 Aurora 勒索软件的 Linux 变体，作为 139 KB 的 ELF 二进制文件托管在 Cloudflare R2 上，并手动复制到受害环境中的多个内部主机。它使用 ChaCha20 对文件原地加密，并使用嵌入的 RSA-4096 公钥包装每个会话密钥，同时具备专用的 ESXi 模式。

在该模式下，加密器使用 esxcli 枚举运行中的虚拟机，强制终止每个客机以释放对虚拟磁盘文件的锁定，然后加密 VM 文件，同时跳过 hypervisor 的系统卷——刻意保留主机可启动，以便受害者能够读取勒索要求。它还将敲诈文本写入 SSH 登录横幅，使任何连接到该机器的人在登录提示之前看到勒索信息。自定义的 NetExec LDAP 模块 esxi_finder.py 扫描受害网络中的 ESXi hypervisor 和 vCenter 服务器，通过 TLS 对精确版本进行指纹识别。Gambit 发布了文件哈希、指挥控制地址、SOCKS 代理基础设施以及该组织的协商门户和公开泄露站点，作为妥协指示。

第二个作案群组采用不同的作案手法

Gambit 还以中等置信度将第二个活动群组归因于一名 Aurora 运营者，可能是不同的个人。该关联是一个外泄桶，九天后收到了 Aurora 在其泄露站点上发布的组织数据。该群组涉及以色列、德国、奥地利、西班牙、美国和阿根廷的八个受害组织，并且跳过了第一组的防范措施：未通过暴露的 SQL Server xp_cmdshell 进行横向移动，未使用 GodPotato 提升至 SYSTEM，未对域控制器执行 DCSync，也未使用 s5cmd 将数据外泄至自托管的兼容 S3 存储。对比很重要：一名运营者严格避免 DCSync，而另一名却使用它，这表明该团队的纪律不统一，而非单一作业手册。

AI 辅助的入侵模式正在重复出现

Gambit 已跟踪这种入侵形态数月。其 2026 年 4 月 10 日技术报告 记录了一名运营者在九个政府机构上使用两套 AI 平台，其 2026 年 8 月关于入侵生命周期中 AI 的研究 绘制了 AI 辅助在真实攻击各阶段的传播路径。Black Kite 2026 勒索软件报告 同样描述了更快且更加碎片化的威胁经济。Aurora 日志是迄今为止最细粒度的公开证据，展示了键盘上的实际情况：并非 AI 生成恶意软件，而是 AI 作为随时可用的利用顾问，降低了动手网络入侵的技术门槛。

此披露恰逢该工具新所有者的尴尬时刻。Cursor——其自称是“用于构建宏大软件”的编码代理，正如其官网所述——已于 2026 年 8 月 14 日正式成为 SpaceX 的一部分，完成了 600 亿美元的收购，时间距报告发布仅两周。Gambit 的调查并未指控 Cursor 系统存在任何故障；该代理看似是一款付费或普通工具，因普通访问权限被滥用。Gambit 现在发布的记录为防御者提供了可用于阻断和猎杀的具体基础设施，并为业界提供了一个完整的案例，展示了代理式编码产品从头到尾被用作攻击工具的全过程。