Операторы программы-вымогателя Aurora использовали искусственный интеллект курсора в атаках на 10 целей.

[admin]

Согласно данным CloudSEK и Gambit Security , злоумышленники, связанные с программой-вымогателем Aurora (также известной как Aur0ra), использовали разработанный компанией SpaceX помощник по программированию на основе искусственного интеллекта (ИИ) Cursor для взлома целевых сетей.

Два независимых анализа основаны на раскрытой инфраструктуре, связанной с русскоязычной киберпреступной группировкой, что привело к обнаружению ее инструментария, истории командной оболочки и шифратора. Компания CloudSEK заявила, что раскрытый открытый каталог содержит информацию о «месяцах активности», направленной против более чем 20 организаций в девяти странах в период с апреля по июль 2026 года. Четыре из этих жертв с тех пор были указаны на сайте CloudSEK, посвященном утечкам данных.

«Оператор использовал Cursor, агентного помощника по кодированию, для планирования атак на российском языке, исключая при этом без исключения регионы СНГ и домены стран СНГ», — отметили в CloudSEK.

Подробности об Aurora впервые появились в конце мая 2026 года, когда CYFIRMA обратила внимание на атаки, направленные в основном на системы Windows, и на ее постоянное техническое развитие посредством поэтапных обновлений и расширения функционала. Данные с Ransomware.Live указывают на 33 жертвы, находящихся в США, Германии, Нидерландах, Канаде и Великобритании.
В одном из случаев, подробно описанных компанией Black Hills Information Security ранее в этом месяце, первоначальный доступ был получен путем агрессивной рассылки электронных писем с целью оказания помощи сотрудникам в решении проблемы, а затем путем телефонных звонков сотрудникам под видом специалистов службы поддержки ИТ, чтобы установить удаленный доступ с помощью утилиты с открытым исходным кодом под названием Xray-core .

Дальнейшая цепочка атак включает в себя горизонтальное перемещение через SMB, LDAP, WinRM, RDP и RPC, получение доступа к учетным записям администраторов с высокими привилегиями и их использование для избежания обнаружения путем очистки журналов и отключения Microsoft Defender, прежде чем собирать и похищать конфиденциальные данные и развертывать шифратор.

Компания CloudSEK заявила, что обнаружила версии Aurora для Windows и Linux, написанные на языке Zig, добавив, что восстановленная история чатов оператора свидетельствует об активном использовании Cursor для планирования различных этапов атаки. Это включает в себя полный план эксплуатации Active Directory Certificate Services (AD CS), написанный на русском языке.

«Оба бинарных файла шифратора, sap.exe для Windows и encrypt.out для Linux/ESXi, представляют собой статические сборки из единой кодовой базы Zig, скомпилированные для разных целевых платформ, а не написанные дважды», — отметила компания. «Бинарный файл для Windows даже содержит примеры использования сборки для Linux, оставшиеся от использования одного дерева исходного кода на обеих платформах».

Вариант для Windows также позволяет блокировать восстановление системы путем удаления теневых копий томов и отключения восстановления системы непосредственно через реестр. Вариант для Linux и ESXi, с другой стороны, пытается принудительно завершить работу всех виртуальных машин на хосте перед началом шифрования.

Кроме того, сообщается, что ключ, извлеченный из шифратора Aurora, предоставил доступ к переговорам о выкупе между злоумышленником и неустановленной жертвой, а также к группе из четырех криптовалютных кошельков, в которых наблюдается различное распределение прибыли между партнерами и основными операторами. Выяснилось, что партнеры получают от 54% до 79%, а остальная часть достается администраторам.

Это означает, что доля партнера в выкупе определяется для каждой жертвы и зависит от требуемой суммы выкупа и доходов жертвы. Незаконно заработанные средства затем отмываются и обналичиваются.

Компания Gambit Security, опубликовавшая собственные данные об этой активности, сообщила, что наблюдала, как оператор Aurora использовал Cursor Agent, работающий на основе Claude Sonnet от Anthropic, для проведения непосредственной эксплуатации уязвимости на 10 целях в период с 8 апреля по 21 мая 2026 года.

«В этих случаях агенту предоставлялись учетные данные или уже существующий доступ к организации-жертве, — сказал Эяль Села, директор по анализу угроз в Gambit Security. — Затем ему поручались различные действия по эксплуатации».

«Агенту были поручены стандартные задачи по эксплуатации уязвимостей. В некоторых случаях злоумышленник лишь просил агента выполнить определенную задачу, например, „скажите, какими правами обладает пользователь“, в других же он указывал агенту, какой инструмент для эксплуатации уязвимостей использовать, или инструктировал его следовать заранее разработанному плану атаки. В некоторых случаях агент предоставлял список потенциальных дальнейших шагов, а злоумышленник лишь отвечал числом, соответствующим одному из них».

Ниже перечислены некоторые задачи, переданные агенту:

Установка VPN-клиента или ProxyChains, его последующая настройка и подключение к жертве с использованием предоставленных учетных данных или существующего SOCKS-туннеля.
Сканирование внутренних подсетей на наличие хостов с помощью Nmap или NetExec.
Для определения привилегий указанного пользователя с помощью сборщика BloodHound от NetExec выполняется перечисление домена.
Попытка осуществления NTLM-ретрансляционных атак путем принудительного получения аутентификации с помощью PetitPotam, Coerce Plus и PrinterBug, а также использования Impacket ntlmrelayx для ретрансляции полученной аутентификации.

Проведение атак на сертификаты с помощью Certipy

«Большинство команд не смогли достичь поставленной цели с первой попытки, что привело к многочисленным доработкам и изменениям команд и скриптов, используемых для каждой задачи», — сказал Гамбит. «Некоторые в итоге достигли цели, в то время как другие потерпели неудачу и вернули злоумышленнику только отчет о попытках».

Кроме того, атаки с использованием версии для Linux осуществлялись с помощью скрипта на Python ("esxi_finder.py") для сканирования гипервизоров VMware ESXi и серверов vCenter в сети жертвы.

Это событие — последний пример того, как злоумышленники используют коммерческие инструменты искусственного интеллекта для осуществления кибератак, даже несмотря на то, что поставщики моделей внедряют все больше мер защиты для предотвращения неправомерного использования. Названия пострадавших компаний не разглашаются, но агентство Reuters сообщило, что это Christeyns, Teckentrup, Helideck Certification Agency, аргентинский дистрибьютор фармацевтической продукции Bayou Title и итальянский производитель.
Появляется набор инструментов Gryxa Toolkit
Это также связано с обнаружением нового инструментария с поддержкой ИИ под названием Gryxa, который используется злоумышленником, преследующим финансовые цели, для проведения операции по первоначальному доступу к 324 хостам. Компания ReliaQuest заявила, что Gryxa представляет собой первый случай, когда ИИ использовался для построения всей операции, начиная от инструментария и заканчивая консолью, с которой он запускается.

«Gryxa превращает легитимное программное обеспечение для удаленного мониторинга и управления (RMM) в скрытый доступ, поддерживает доступ в активном состоянии с помощью нескольких механизмов перезапуска, работающих независимо друг от друга, а затем крадет учетные данные, сохраненные в браузерах на основе Chromium», — говорится в сообщении .

«Кроме того, система усиливает защиту конечных точек при прерывании соединения с злоумышленником, отключая или пытаясь удалить агент безопасности. В совокупности эти возможности предоставляют злоумышленнику постоянный доступ к хосту и позволяют ему красть криптовалютные кошельки».

Имеющиеся данные указывают на то, что злоумышленник, стоящий за этой операцией, взломал программный агент ИИ, выдав весь процесс разработки за «авторизованное внутреннее развертывание». Вероятно, Gryxa распространяется через фишинговые электронные письма.

После запуска на скомпрометированном хосте он обеспечивает постоянное присутствие с помощью запланированных задач и может обходить защиту Chromium, основанную на шифровании приложений ( ABE ), для кражи учетных данных из веб-браузеров. Полученные учетные данные передаются через Telegram.

Пожалуй, наиболее необычной особенностью Gryxa является то, что она регистрирует предпринятые меры по устранению угроз и сообщает о них злоумышленнику. В частности, после удаления видимого импланта RMM скрытый компонент вредоносного ПО собирает журналы Windows и артефакты хоста и загружает их на инфраструктуру, контролируемую злоумышленником.

Кроме того, если ретранслятор злоумышленника становится недоступным, Gryxa пытается отключить и удалить любые агенты защиты конечных точек, такие как Microsoft Defender и другие, примерно в течение 10-13 минут. Как только ретранслятор становится доступным, инструментарий повторно включает Defender.

«Компонент Gryxa только собирал и загружал данные; он не анализировал, что именно было удалено», — заявили в ReliaQuest. «После получения архива злоумышленник не делает никаких выводов о том, какой инструмент выполнил удаление, какая учетная запись его запустила и в каком порядке».

«В консоли пользователя есть готовая задача под названием collect-forensics, что указывает на то, что это стандартная функция, а не реакция на единичный инцидент. Gryxa автоматически обновляет файлы журналов, когда их размер превышает 200 КБ, что означает сохранение недавней активности для оперативного реагирования».

Источник