Gambit SecurityのThreat Intelligenceチームによる新たな調査によると、Auroraランサムウェアの攻撃者がSpaceXのAIツールであるCursor Agentを悪用し、攻撃キャンペーンの一環として利用していたことが判明しました。
この脅威アクターは、2026年4月8日から5月26日にかけて10件の被害組織を標的とした攻撃活動において、Cursor Agent経由でClaude Sonnetを実行し、さまざまな攻撃活動を支援させていました。
これらのタスクには、偵察目的での被害組織の環境スキャン、VPNクライアントのインストール、証明書攻撃の実行などが含まれていました。
Cursor Agentが常に所期の目的を達成できたわけではありませんが、今回の調査結果は、脅威アクターがキャンペーンの高速化・高度化を狙ってAIツールの実験を継続的に行っていることを浮き彫りにしています。
Cursor Agentは通常、ソフトウェア開発者が複雑なコーディングタスクを自律的に完了させたり、ターミナルコマンドを実行したり、コードを編集したりするために使用するツールです。
Auroraによるランサムウェア攻撃でのCursor Agent悪用の手口
Aurora の攻撃者は、侵害後の活動を支援させるためにCursor Agentを投入し、このツールに認証情報や被害組織への既存の侵入経路を与えていました。
エージェントに与えられたコマンドの一部は、被害組織の環境に関する情報収集に関するものでした。攻撃者が「このユーザーが持つ権限を教えて」といったように、達成すべき目標だけをCursor Agentに伝えるケースも見られました。
一方で、使用する攻撃ツールや、事前に生成した攻撃計画に従うよう具体的な指示が与えられるケースもありました。これには、指定されたユーザーが持つ権限を報告させるためのドメイン列挙、NetExecのBloodHoundコレクターの使用、Nmapまたは NetExecによる内部サブネット上のホストのスキャンなどが含まれていました。
Cursor Agentには、PetitPotam、Coerce Plus、PrinterBugを用いた認証の強制によるNTLMリレー攻撃の試行や、Certipyを用いた証明書攻撃の実行といった、さまざまな攻撃活動も指示されていました。
また、エージェントはVPNクライアントやproxychainsのインストールを指示され、その後、提供された認証情報や既存のSOCKSトンネルを用いて設定を行い、被害組織への接続を行っていました。
「コマンドの大半は初回の試行では所期の目的を達成できず、各タスクで使用するコマンドやスクリプトに複数回の修正・変更が加えられました。最終的に目的達成に成功したケースもあれば、失敗して試行内容のレポートのみを攻撃者に返す結果となったケースもあります」と研究者らは記しています。
ESXi環境を標的とする新たな亜種を展開するAurora
8月27日に公開されたGambitの調査では、Auroraの攻撃者がESXi環境を標的とすることが可能な新たなLinux版ランサムウェア亜種を展開していたことも確認されています。
攻撃者は、カスタムのNetExec LDAPモジュールであるesxi_finder.pyを使用し、被害組織のネットワーク内にあるVMware ESXiハイパーバイザーおよびvCenterサーバーをスキャンしていました。
この亜種は仮想マシンファイルを暗号化する一方でシステムボリュームはスキップするため、ハイパーバイザー自体は起動可能な状態が維持され、被害者が身代金要求を確認できるようになっています。
Gambitの研究者らは、中程度の確度でAuroraの攻撃者によるものと判断した別の活動クラスターも観測しており、この攻撃ではイスラエル、ドイツ、オーストリア、スペイン、米国、アルゼンチンにまたがる8件の被害組織が標的となっていました。
Auroraランサムウェアの活動は2026年4月以降観測されており、このグループはデータ漏洩サイトを運営しながら、複数の国にまたがる組織を標的としています。
画像提供: Rokas Tenys/Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/abuse-cursor-agent-ransomware/
