Auroraランサムウェアのアフィリエイト、10組織への攻撃でCursos AIを使用

Auroraランサムウェアのアフィリエイト、10組織への攻撃でCursos AIを使用

The Hacker News – Aug 31, 2026

ランサムウェア「Aurora（Aur0ra）」に関連する脅威アクターらは、AIコーディングアシスタント「Cursor」を使ってターゲット企業のネットワークへ侵入しているという。CloudSEKとGambit Securityが報告した。

Auroraは、2026年4月ごろから活動し始めたとみられる二重恐喝グループ。同グループのアフィリエイトのものとみられるインフラがネット上に露出していたことから、ツールキットやシェル履歴、暗号化ツールの分析が可能になったとされる。

CloudSEKは、露出していたオープンディレクトリからCursorのチャット履歴を発見。この脅威アクターがCursorを使ってロシア語で攻撃手順の立案や検討を行っていたと伝えている。その中には、完全にロシア語で記述されたActive Directory 証明書サービス（AD CS）の悪用計画も含まれていたという。なお、CIS（独立国家共同体）の組織は攻撃の対象から外されていた。

またGambit Securityも、2026年4月8日から5月21日にかけてAuroraのアフィリエイトがCursor Agentでアンソロピック製AI「Claude Sonnet」を使用し、標的10組織に対する手動による攻撃を支援していたことを確認したと述べている。これらの攻撃において、アフィリエイトはCursorに認証情報または既存の侵入ルートを渡し、以下に挙げるようなさまざまなエクスプロイト活動をタスクとして課していたとされる。

• VPNクライアントまたはproxychainsをインストールし、設定を行った後、攻撃者から渡された認証情報または既存のSOCKSトンネルを使用してターゲット組織に接続する
• NmapまたはNetExecを使用して、内部サブネット内のホストをスキャンする
• NetExecのBloodHoundコレクターを使用して、ドメインを列挙し、指定されたユーザーがどの権限を持っているかを報告する
• PetitPotam、Coerce Plus、PrinterBugを用いて認証を強制し、Impacketのntlmrelayxを使用してその結果得られた認証情報を中継することで、NTLMリレー攻撃を試みる
• Certipyを使用して証明書攻撃を実行する

アフィリエイトは、「ユーザーが何の権限を持っているか教えて」などとCursorに依頼するだけの場合もあれば、自ら使用すべきエクスプロイト用ツールをAIに指示する場合もあったという。また、エージェントから次に取るべきステップのリストが提示されたケースもあったとされる。

このほか、CloudSEKとGambitはAuroraの暗号化ツールに関しても分析結果を報告している。CloudSEKは、Zigで書かれたWindows版（sap.exe）およびLinux/ESXi版（encrypt.out）のAuroraを発見。Windows版にはボリュームシャドウコピーを削除し、レジストリを介して直接「システムの復元」を無効化してシステムの復旧を妨げる機能も備わるとされる。一方でLinux/ESXi版は、暗号化を開始する前に、ホスト上のすべての仮想マシンの強制終了を試みることができるという。

CloudSEKはまた、暗号化ツールから復元された鍵に基づき、アフィリエイトは支払われた身代金の54〜79%を獲得し、残りがAurora運営陣の取り分になることも突き止めている。この割合は、要求された身代金額や被害組織の収益規模などに応じて各被害者ごとに決定されるものと考えられる。

一方でGambitは、Linux版暗号化ツールを用いた攻撃ではPythonスクリプト「esxi_finder.py」が使用され、被害者ネットワーク内のVMware ESXiハイパーバイザーおよびvCenterサーバーのスキャンが実施されていたと伝えた。

AIモデルプロバイダーは悪用を防ぐためのガードレールを実装しているものの、今回の分析により、こうした商用AIツールがサイバー攻撃に悪用される新たな事例がまたもや明らかになっている。CloudSEKとGambitは被害組織の名前を伏せているものの、ロイター通信の報道によれば、ベルギーの化学・衛生用品企業やドイツの建材メーカー、スコットランドの認証機関、米国の権原保険企業、アルゼンチンの医薬品販売業者、イタリアのメーカーが含まれるとのこと。