公開状態だったオープンディレクトリから、Aurora ランサムウェア活動に関与するロシア語圏の攻撃者による数カ月分の活動実態が明らかになりました。
CloudSEKによると、この攻撃者は2026年4月から7月にかけて9カ国20以上の組織を標的とし、17件の被害組織でドメインレベルまたは対話的なアクセス権を取得していたとのことです。
この無防備なLinuxホームディレクトリは、ポート8888経由のファイル一覧として公開されていたとみられています。中には被害組織ごとのフォルダ、Kerberosチケット、認証情報のダンプ、Active Directoryデータ、シェル履歴ファイル、Cursor AIのチャットログ、攻撃ツール、Aurora ランサムウェアのバイナリなどが含まれていました。
このファイル群に記録されていた4つの組織は、後にAuroraの公開リークサイトに掲載されました。CloudSEKは、この攻撃者は他の犯罪者にアクセス権を販売する初期アクセスブローカーではなく、Auroraの関連攻撃者として自ら侵入活動を行っていたと高い確度で評価しています。
この攻撃者は、被害環境への直接接続を隠すため、主にドイツと米国のVPSサーバーを利用した、レンタルのSOCKSプロキシインフラを使用していたとされています。
回収された記録からは、この攻撃者がAIコーディングアシスタントのCursorを使い、ロシア語で攻撃計画を練っていたことが判明しています。
複数の被害組織が絡む作戦の過程で交わされたチャットには、Active Directory証明書サービス(ADCS)の悪用や、その他のドメイン侵害手法に関する継続的な議論が含まれていました。
この攻撃者は、標的ごとに再現性のある手順を踏んでいました。LDAPおよびSMBの探索、パスワードポリシーの確認、ASREPRoasting、Kerberoasting、BloodHoundによる情報収集、認証情報の検証にはNetExecを使用していました。
権限昇格に際しては、noPac攻撃チェーン用に独自のスクリプトを保持しており、ESC1、ESC6、ESC8に関連するADCSの脆弱性も利用していました。ツールキットにはさらに、PetitPotam、PrinterBug、DFSCoerceを用いたNTLMリレー手法も含まれていました。
CloudSEKによると、この攻撃者はPowerShellで駆動する7-Zipのジョブを使って窃取データをアーカイブし、50GB単位のチャンクに分割してから、データをステージングして持ち出していたとのことです。
ブラウザに保存された認証情報の窃取、VPN認証情報の検証、バックアップシステムへのアクセス、Active Directoryの侵害、ESXiの探索についても記録が残されていました。
調査担当者は、このディレクトリ内でAurora暗号化ツールのWindows版とLinux/ESXi版を発見しました。これらのバイナリはランサムウェアでは珍しいプログラミング言語であるZigで書かれており、共通のコードベースに由来するとみられています。
sap.exeという名前のWindows用ペイロードには、ボリュームシャドウコピーやシステムの復元機能を標的とする、復旧妨害機能が備わっています。
Linux/ESXi版のencrypt.outは、仮想マシンを検知して停止させたうえで、VM関連ファイルを暗号化することができます。ESXi上に身代金要求メモを設置する代わりに、SSHのログインバナーを書き換えて脅迫メッセージを表示する仕組みになっているとのことです。
暗号化ツールから回収された鍵によって、CloudSEKは完了済みの身代金交渉の内容にもアクセスできました。TRM Labsとの協力により、研究者らは関連するビットコイン決済を追跡し、Auroraのより広範なマネーロンダリングネットワークとの関連性を特定しています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化しています(例: [.])。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/aurora-uses-cursor-ai/
