LONDON (IT BOLTWISE) – Ermittlungen zeigen, dass Aurora-Ransomware-Betreiber den KI-Coding-Assistenten Cursor für die Planung und Abarbeitung von Angriffen eingesetzt haben. Laut CloudSEK umfasste die Aktivität zeitweise mehr als 20 Organisationen in neun Ländern. Gambit Security beschreibt außerdem, wie ein agentischer Cursor-Workflow mit Claude Sonnet konkrete Exploitation-Aufgaben schrittweise ausführt. Im Fokus stehen dabei sowohl Windows- als auch Linux/ESXi-Varianten inklusive AD-CS-Zielplanung und Ansätze zur Manipulation von Sicherheits- und Wiederherstellungsmechanismen.
Der Einsatz von KI-Tools in Cyberangriffen rückt erneut in den Mittelpunkt: Bei Aurora (auch Aur0ra) berichten zwei unabhängige Analysen, dass Betreiber den KI-gestützten Coding-Assistenten Cursor nicht nur zur Code-Generierung, sondern zur strukturierten Angriffsvorbereitung genutzt haben. CloudSEK und Gambit Security stützen sich dabei auf jeweils unterschiedliche Beobachtungsquellen aus der mit der Kampagne verknüpften Infrastruktur. Im Kern geht es um die Frage, wie aus generischer Assistenz eine prozessfähige „agentische“ Komponente wird, die wiederholbar Teilaufgaben übernimmt und dadurch die Hürde für Operatoren senkt.
CloudSEK beschreibt, dass ein offenes Verzeichnis zu „Monaten Aktivität“ geführt habe und dabei mehr als 20 Organisationen in neun Ländern zwischen April und Juli 2026 angegriffen wurden. Vier davon seien später auch auf einer Datenleak-Seite gelistet worden. Auffällig ist außerdem, wie der Operator Cursor im Chat als Planungswerkzeug verwendet habe: Laut den Angaben wurde der Einsatz auf bestimmte Zielräume zugeschnitten, indem CIS-Bereiche und Domains ausdrücklich ausgeschlossen wurden. Technisch ordnet sich das in die bekannte Angriffslogik der Aurora-Kampagne ein: erst Initial Access, dann Ausbreitung im Netzwerk über etablierte Protokolle und schließlich Zugriff auf privilegierte Konten, das gezielte Umgehen von Erkennung sowie die Bereitstellung des Encryptors.
Die Detailtiefe betrifft vor allem den Werkzeugbau. CloudSEK findet zwei Aurora-Varianten, eine für Windows und eine für Linux bzw. ESXi, die beide aus einer einzigen Zig-Codebasis „statisch“ gebaut wurden, aber für unterschiedliche Targets kompiliert sind. Konkreter wird es beim Verhalten der Binaries: Die Windows-Variante soll System Recovery erschweren, indem Volume-Shadow-Copies gelöscht und System Restore über Registrierungsanpassungen deaktiviert wird. Auf Linux/ESXi-Seite wird dagegen berichtet, dass vor dem Verschlüsseln jede virtuelle Maschine auf dem Host zwangsweise „abgewürgt“ werden soll. Zudem wird aus dem recovered Chat-Umfeld ein vollständiger Plan zur Ausnutzung von Active Directory Certificate Services (AD CS) in russischer Sprache genannt, was zeigt, dass der KI-Assistent nicht nur einzelne Commands skizziert, sondern auch komplexere Exploitation-Ketten dokumentiert und verfeinert.
Gambit Security ergänzt, wie Cursor in der Praxis als Agent-Workflow genutzt worden sein soll. In den von Gambit beschriebenen Fällen sei ein Cursor Agent eingesetzt worden, der auf Anthropic Claude Sonnet aufsetzt, um bei zehn Targets zwischen dem 8. April und dem 21. Mai 2026 „hands-on exploitation“ zu unterstützen. Die Logik dahinter wirkt weniger wie ein Chatbot, sondern eher wie ein Aufgabenmanager: Der Agent habe entweder Zugangsdaten oder bereits existierende Wege ins Zielsystem erhalten und sei anschließend mit Exploitation-Aktivitäten betraut worden. Auf die Art der Interaktion verweist auch die direkte Aussage von Eyal Sela, Director of Threat Intelligence: „The operator used Cursor, an agentic coding assistant, to plan attacks in Russian…“ (sinngemäß in der CloudSEK-Analyse) bzw. bei Gambit wird beschrieben, dass der Agent teils nur Ziele abarbeiten sollte, teils aber konkrete Tools anwenden oder einem vorbereiteten Angriffsplan folgen musste.
Was Gambit Security aus den Fällen herausarbeitet, ist besonders relevant für Defender und Sicherheitsarchitektur: Viele der konkreten Schritte hätten beim ersten Versuch nicht sofort zum Ziel geführt, weshalb Operatoren die Commands, Skripte und Abläufe wiederholt angepasst haben. In der Beschreibung tauchen typische Bausteine auf, die in Angriffsketten häufig als „Zwischenstufe“ dienen: etwa das Einrichten eines VPN-Clients oder von proxychains, das Scannen interner Subnetze mit Nmap oder NetExec, das Auslesen von Domänen- und Privilegieninformationen über BloodHound-Collector-Workflows, sowie der Versuch, per NTLM-Relay durch Manipulation der Authentifizierung (u.a. PetitPotam, Coerce Plus, PrinterBug und Impacket ntlmrelayx) Eskalationschancen zu erzeugen. Ergänzend werden Zertifikatsangriffe mit Certipy genannt; für Linux/ESXi sei zudem ein Python-Skript („esxi_finder.py“) genutzt worden, um VMware ESXi-Hosts und vCenter-Server im Netzwerk zu identifizieren.
Neben Aurora ist in den gleichen Berichten auch ein zweites Muster sichtbar, das zeigt, wie sich KI-Assistenz in der Praxis ausbreitet: Beim finanziell motivierten Gryxa-Toolkit wird laut ReliaQuest beschrieben, dass KI nicht nur bei der Generierung einzelner Komponenten hilft, sondern den Aufbau der gesamten Initial-Access-Operation von der Werkzeugkiste bis zur Konsole mitprägen soll. Gryxa soll legitime RMM-Software in einen verdeckten Zugriff umdeuten, Zugänge durch mehrere unabhängige Neustartmechanismen am Leben halten, Browser-Credentials aus Chromium-basierten Umgebungen stehlen und gegen Endpoint Protection eskalieren, wenn die Verbindung zum Angreifer abreißt. Interessant ist dabei die zusätzliche „Rückkopplungsschicht“: Nach Entfernen des sichtbaren RMM-Implants sammelt eine versteckte Komponente Windows-Logs und Host-Artefakte und überträgt sie in die Infrastruktur der Angreifer; außerdem versucht Gryxa in einem Zeitfenster von etwa 10 bis 13 Minuten, Sicherheitsagenten zu deaktivieren oder zu deinstallieren und schaltet Defender später wieder ein, sobald der Relay erreichbar ist.
Für Unternehmen folgt daraus weniger ein abstraktes „KI-Risiko“, sondern ein sehr konkreter Architektur- und Prozessimpuls. Wenn agentische Codierassistenten Angriffe in wiederholbaren Teilaufgaben orchestrieren, verschiebt sich der Aufwand im Angriff: Statt dass der Operator jede Detailaktion manuell erstellt, werden Standardschritte schneller iteriert, und Fehler werden durch Command-Refinements unmittelbar im Prozesszyklus kompensiert. Entsprechend sollten Sicherheits-Teams in der Praxis stärker darauf achten, dass typische Zwischenkomponenten der Ketten früh detektierbar bleiben: ungewöhnliche SMB/LDAP/WinRM/RDP/RPC-Muster, Aktivitäten im Kontext von AD CS, Log-Lösch- und Defender-Deaktivierungsversuche sowie Spuren von Shadow-Copy- und System-Restore-Manipulation. Gleichzeitig macht die Aurora-Berichterstattung deutlich, dass Angreifer ihre Tooling-Basis über Plattformen hinweg konsolidieren können; damit steigt der Nutzen einer einheitlichen Telemetrie- und Hunt-Strategie, statt sich nur auf eine Betriebssystemwelt zu konzentrieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Aurora-Ransomware nutzt Cursor-KI für Angriffsvorbereitung und -durchführung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Aurora-Ransomware nutzt Cursor-KI für Angriffsvorbereitung und -durchführung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Aurora-Ransomware nutzt Cursor-KI für Angriffsvorbereitung und -durchführung« bei Google Deutschland suchen, bei Bing oder Google News!