LONDON (IT BOLTWISE) – Sicherheitsanalysen zeigen, dass Betreiber der Aurora-Ransomware den KI-gestützten Coding-Assistenten Cursor zum Planen und Abarbeiten von Angriffsschritten genutzt haben. In den Befunden tauchen sowohl Windows- als auch Linux- und ESXi-Varianten auf, deren Binaries als statische Builds aus einer gemeinsamen Zig-Codebasis entstanden sind. Die Ermittler beschreiben zudem eine komplexe Attack Chain mit Credential-Diebstahl, Bewegungen im Netzwerk und dem gezielten Unterlaufen von Erkennungs- und Wiederherstellungsmechanismen. Gleichzeitig liefern die Wallet-Aufteilungen Hinweise darauf, wie sich Affiliate-Anteile je Opfer und Lösegeldhöhe unterscheiden können.
Die Aurora-Ransomware (auch unter dem Namen Aur0ra bekannt) wird in aktuellen Sicherheitsanalysen nicht nur wegen ihrer Implementierungsdetails greifbar, sondern auch wegen der Rolle moderner KI-Entwicklungswerkzeuge im Angriffsprozess. Laut Befunden von CloudSEK und Gambit Security haben die Angreifer den KI-gestützten Coding-Assistenten Cursor genutzt, um Teile der Operation zu planen und in einzelnen Phasen beim „Hands-on“-Vorgehen zu unterstützen. Das ist weniger ein dramatischer Einzelfall als ein Muster: Werkzeuge, die ursprünglich für produktive Softwareentwicklung gedacht sind, werden zunehmend als Assistenzsystem in realen Exploit- und Intrusion-Workflows zweckentfremdet.
Ein Schwerpunkt der CloudSEK-Auswertung liegt auf geleakter Infrastruktur der Betreiber, aus der sich ein Toolkit, Shell- und Arbeitsverlaufspuren sowie der Encryptor ableiten lassen. In einem offen einsehbaren Verzeichnis sei den Angaben zufolge „months of activity“ sichtbar gewesen, aktiv gegen mehr als 20 Organisationen in neun Ländern zwischen April und Juli 2026; vier dieser Opfer werden zusätzlich auf einer Datenleak-Seite aufgeführt. Auffällig: Der Cursor-gestützte Planungsanteil soll dabei in russischer Sprache erfolgt sein, ergänzt um die Entscheidung, bestimmte Zielräume nicht einzuschließen, darunter CIS-Adressbereiche und CIS-Länder-Domains. Diese Mischung aus geographischer Zielselektion und automatisierbar formulierten Vorgehensweisen passt zu einer Operationalisierung, bei der KI nicht den Angriff „magisch macht“, sondern die Komplexität für die Angreifer reduziert.
Technisch beschreiben die Analysen eine mehrstufige Attack Chain, die mit aggressiven Initialzugriff-Mechanismen beginnen kann. In einem detaillierten Fall wurde nach Angaben einer Sicherheitsfirma der Einstieg über Email-Bombing berichtet, gefolgt von Telefonanrufen an Mitarbeitende, bei denen Angreifer sich als IT-Help-Desk ausgaben, um beim Umgang mit dem Vorfall zu helfen. Danach wurde Remote-Zugriff über ein Open-Source-Utility namens Xray-core hergestellt. Von dort aus folgt typischerweise die laterale Ausbreitung und Rechteausweitung: SMB, LDAP, WinRM, RDP und RPC werden in der Kette genannt; anschließend greifen die Angreifer auf hochprivilegierte Administrator-Accounts zu, löschen oder manipulieren Artefakte zur Schwächung der Erkennung (etwa Log-Clearing) und deaktivieren Microsoft Defender, bevor sensible Daten abgegriffen und exfiltriert werden. Gerade diese Kombination aus Unterdrückung von Logging, defensiver Deaktivierung und anschließendem Datenabfluss ist in der Praxis ein Zeitfenster-Problem, das gut zu „KI-gestütztem Feintuning“ passt, weil Skripte und Kommandofolgen schneller angepasst werden können, wenn Tests fehlschlagen.
Bei der Payload liefert die CloudSEK-Analyse zusätzliche Hinweise auf einen modularen Engineering-Ansatz. Laut den Angaben wurden sowohl Windows- als auch Linux-Versionen der Aurora-Ransomware gefunden, beide in Zig geschrieben. Die Binaries seien statische Builds aus einer gemeinsamen Zig-Codebasis, für verschiedene Targets kompiliert, statt die Logik doppelt zu implementieren. Ein Detail verdeutlicht die gemeinsame Herkunft: Das Windows-Binary soll Usage-Beispiele aus der Linux-Variante „mitführen“, ein Artefakt aus der Nutzung eines gemeinsamen Quelltrees. Für Windows werden zudem Mechanismen genannt, die System Recovery aushebeln sollen, unter anderem das Löschen von Volume-Shadow-Copies und das direkte Deaktivieren von System Restore über Registry-Änderungen. Unter Linux/ESXi wiederum zielt die Strategie darauf, offenbar vor dem Verschlüsselungsstart sämtliche Virtual Machines auf dem Host gewaltsam zu stoppen.
Auch die Gambit-Security-Befunde beleuchten, wie Cursor als Agentic Coding Assistant im Verlauf einer Operation eingewoben werden kann. Dabei wird beschrieben, dass der Aurora-Betreiber den Cursor Agent eingesetzt habe, der mit Anthropics Claude Sonnet läuft, und dass dieser Agent in einem Zeitraum zwischen 8. April und 21. Mai 2026 gegen 10 Ziele genutzt wurde. Die Agent-Aufgabe sei teils mit Credentials ausgestattet oder mit einer bereits vorhandenen Zugangsrouten („existing route“) verknüpft worden, anschließend folgten verschiedene Exploitation-Aktivitäten. Je nach Phase sei der Agent entweder auf ein Ziel festgenagelt worden („tell me what rights the user has“), oder der Angreifer habe ein konkretes Exploit-Tool vorgegeben bzw. ihn einen zuvor erstellten Angriffsplan abarbeiten lassen. Ein wichtiges Detail in den Beschreibungen: In manchen Fällen lieferte der Agent Listen möglicher nächster Schritte, und der Angreifer habe nur eine Nummer als Auswahl zurückgegeben. Das wirkt wie ein Mensch-unterstütztes Entscheidungsrad, bei dem KI die Such- und Formulierungsarbeit übernimmt, während der Operator die Ergebnisrichtung vorgibt.
Konkrete Offloads an den Agenten umfassen nach Gambit-Angaben unter anderem das Installieren eines VPN-Clients oder das Einrichten von Proxychains, das Scannen interner Subnetze mit Nmap oder NetExec, sowie die Domänenaufklärung zur Privileged-Einschätzung über NetExec inklusive BloodHound-Collector. Ebenfalls genannt sind Versuche auf NTLM-Relay-Angriffe, bei denen Authentifizierungen durch Mechanismen wie PetitPotam, Coerce Plus und PrinterBug erzwungen und anschließend über Impacket ntlmrelayx weitergeleitet werden. Ergänzend werden Zertifikatsangriffe über Certipy erwähnt. Bemerkenswert ist auch die Effektivität im ersten Versuch: Laut Gambit scheiterten die meisten Befehle zunächst beim Erreichen des Ziels, was zu mehrfachen Verfeinerungen der Kommandos und Skripte führte. Diese Iterationsfähigkeit ist ein Kernvorteil moderner Assistenzsysteme, weil sie schneller als klassische manuelle Handarbeit in den „Trial-and-Error“-Loop zurückführt.
Über Aurora hinaus wird in den Analysen zudem ein weiteres KI-unterstütztes Toolkit namens Gryxa skizziert, das laut den vorliegenden Angaben für eine initiale Zugriffsoperation gegen 324 Hosts eingesetzt wurde. Gryxa soll dabei legitime Remote-Monitoring-und-Management-Software als Tarnschicht für verdeckten Zugang nutzen und die Persistenz über mehrere Neustartmechanismen absichern, die unabhängig voneinander funktionieren. Außerdem wird beschrieben, dass Zugangsdaten aus Chromium-basierten Browsern abgegriffen werden, in Verbindung mit Fähigkeiten zum Eskalieren gegen Endpoint Protection, etwa beim Unterbrechen der Verbindung zum Angreifer: Dazu zählen das Deaktivieren oder das versuchte Deinstallieren von Security-Agenten. In dieser Beschreibung fällt besonders der „Remediation“-Gedanke auf: Nach Entfernung eines sichtbaren RMM-Implants solle ein versteckter Bestandteil Windows-Logs und Host-Artefakte sammeln und zu Angreifer-Infrastruktur hochladen, und bei nicht erreichbarem Relay werde zusätzlich innerhalb von etwa 10 bis 13 Minuten versucht, Schutzkomponenten zu stören. Das unterstreicht, wie sehr KI-gestützte Werkzeuge nicht nur für Code-Entwicklung, sondern auch für strukturierte Operationsabläufe missbraucht werden können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Aurora-Ransomware setzt auf KI-Coding-Assistent Cursor: Neue Befunde zu Attack Chain und Wallet-Anteilen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Aurora-Ransomware setzt auf KI-Coding-Assistent Cursor: Neue Befunde zu Attack Chain und Wallet-Anteilen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Aurora-Ransomware setzt auf KI-Coding-Assistent Cursor: Neue Befunde zu Attack Chain und Wallet-Anteilen« bei Google Deutschland suchen, bei Bing oder Google News!