Aurora, die Ransomware, die Cursor nutzt: Monatelange mit Claude Sonnet geplante Angriffe

Die offene Verzeichnisstruktur einer Infrastruktur, die der Gruppe Aurora zugeordnet wird, ermöglichte CloudSEK und Gambit Security die Rekonstruktion monatelanger Aktivitäten: mehr als zwanzig betroffene Organisationen zwischen April und Juli 2026, zehn Ziele, bei denen der Cursor-Agent eingesetzt wurde, und ein in Zig geschriebener Encryptor für Windows, Linux und ESXi. Die wiederhergestellten Chat-Verläufe zeigen, dass der Betreiber die Angriffe auf Russisch plante und Claude Sonnet konkrete operative Aufgaben übertrug, nicht nur generische Skripte.

Die Offenlegung der Infrastruktur und die erfassten Opfer

CloudSEK hat eine offene Verzeichnisstruktur entdeckt, die monatelange Aktivitäten der russischsprachigen Gruppe namens Aurora oder Aur0ra offenlegte. Die Daten umfassen mehr als zwanzig Organisationen in neun Ländern, die zwischen April und Juli 2026 angegriffen wurden; vier Opfer tauchten später auf der Datenleck-Website der Gruppe auf. Der Betreiber nutzte Cursor, um die Angriffe auf Russisch zu planen, und schloss ausnahmslos IP-Adressen und Domains aus den Ländern der Gemeinschaft Unabhängiger Staaten (GUS) aus.

Aurora trat Ende Mai 2026 öffentlich in Erscheinung, als CYFIRMA die Angriffe beschrieb, die sich vor allem gegen Windows-Systeme richteten, sowie die kontinuierliche Weiterentwicklung der Funktionen. Laut der Website Ransomware.Live sind zum 31. August 2026 insgesamt 33 Opfer erfasst, vor allem in den USA, Deutschland, den Niederlanden, Kanada und dem Vereinigten Königreich.

Die Namen der betroffenen Unternehmen wurden von den Sicherheitsfirmen nicht veröffentlicht, aber Reuters nannte Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, einen argentinischen Pharmadistributor und einen italienischen Hersteller.

Die Angriffskette vom E-Mail-Bombing bis zum Encryptor

Black Hills Information Security rekonstruierte einen Fall Anfang August 2026. Der anfängliche Zugriff erfolgte über aggressives E-Mail-Bombing, gefolgt von Telefonanrufen, bei denen sich der Angreifer als Mitarbeiter des IT-Helpdesks ausgab. Nachdem er das Opfer überzeugt hatte, etablierte die Gruppe Fernzugriff über das Open-Source-Tool Xray-core.

Von dort setzt sich die Angriffskette mit lateraler Bewegung über SMB, LDAP, WinRM, RDP und RPC fort, der Übernahme hochprivilegierter Administratorkonten, der Löschung von Protokollen und der Deaktivierung von Microsoft Defender. Erst danach erfolgen die Exfiltration sensibler Daten und die Verteilung des Encryptors.

Wie der Betreiber Cursor Agent bei den zehn Zielen einsetzt

Gambit Security beobachtete, wie der Aurora-Betreiber Cursor Agent – das Claude Sonnet von Anthropic ausführt – für praktische Ausnutzungsaktivitäten gegen zehn Ziele zwischen dem 8. April und dem 21. Mai 2026 einsetzte. In diesen Fällen wurden dem Agenten Zugangsdaten oder ein bereits bestehender Zugangsweg zur Opferorganisation bereitgestellt; anschließend wurden ihm Aufgaben zur Ausnutzung zugewiesen.

Manchmal bat der Angreifer den Agenten nur, ein Ziel zu erreichen, etwa „Sag mir, welche Rechte der Benutzer hat“. In anderen Fällen gab er das zu verwendende Tool an oder verlangte, einem vorab generierten Angriffsplan zu folgen. In einigen Situationen schlug der Agent eine Liste nächster Schritte vor, und der Angreifer antwortete mit einer Nummer.

Zu den delegierten Aufgaben gehörten:

• Installation eines VPN-Clients oder von Proxychains, Konfiguration und Verbindung zum Opfer mit bereitgestellten Zugangsdaten oder über einen bestehenden SOCKS-Tunnel;
• Scannen interner Subnetze mit Nmap oder NetExec;
• Domänen-Enumeration, um die Rechte eines bestimmten Benutzers zu melden, unter Verwendung des BloodHound-Collectors von NetExec;
• NTLM-Relay-Angriffsversuche durch erzwungene Authentifizierung mit PetitPotam, Coerce Plus und PrinterBug, wobei Impacket ntlmrelayx verwendet wurde, um die resultierende Authentifizierung weiterzuleiten;
• Zertifikatsangriffe mit Certipy.

Die meisten Befehle erreichten ihr Ziel nicht beim ersten Versuch: Es waren kontinuierliche Nachbesserungen an Befehlen und Skripten erforderlich. Einige waren letztlich erfolgreich, andere schlugen fehl und lieferten dem Angreifer nur einen Bericht über die Versuche.

Die Chat-Verläufe zeigen auch einen vollständigen Exploit-Plan für Active Directory Certificate Services, der auf Russisch verfasst ist – ein Zeichen dafür, dass Cursor zur Planung ganzer Phasen der Kampagne genutzt wurde.

Der gemeinsam genutzte Zig-Encryptor für Windows, Linux und ESXi

CloudSEK identifizierte Windows- und Linux-Versionen von Aurora, die in Zig geschrieben sind. Die beiden Binärdateien – sap.exe für Windows und encrypt.out für Linux/ESXi – sind statische Builds, die aus einer einzigen Zig-Codebasis für verschiedene Ziele kompiliert wurden, keine separate Neuentwicklung. Das Windows-Binärprogramm enthält im Inneren Verwendungsbeispiele des Linux-Builds, ein Überbleibsel eines gemeinsamen Quellcodebaums.

Die Windows-Variante verhindert die Systemwiederherstellung, indem sie Volume Shadow Copies löscht und die Systemwiederherstellung direkt über die Registry deaktiviert. Die Linux-/ESXi-Variante versucht dagegen, jede einzelne auf dem Host vorhandene virtuelle Maschine zwangsweise zu beenden, bevor sie mit der Verschlüsselung beginnt.

In Kampagnen mit der Linux-Version wurde ein Python-Skript namens esxi_finder.py verwendet, um VMware-ESXi-Hypervisoren und vCenter-Server im Netzwerk des Opfers zu finden.

Ein aus dem Encryptor wiederhergestellter Schlüssel hätte den Zugang zu einer Lösegeldverhandlung und zu einem Cluster von vier Kryptowährungs-Wallets ermöglicht. Die Daten zeigen variable Aufteilungen: Affiliates erhalten zwischen 54 % und 79 % des Lösegelds, wobei der Anteil pro Opfer anhand des geforderten Betrags und der Einnahmen der Organisation festgelegt wird; der Rest geht an die Administratoren.

Gryxa, das von der KI erstellte Toolkit gegen 324 Hosts

ReliaQuest entdeckte ein separates Toolkit namens Gryxa, das von einem finanziell motivierten Akteur für eine Initial-Access-Operation gegen 324 Hosts eingesetzt wurde. Den Forschern zufolge ist es der erste beobachtete Fall, in dem eine KI die gesamte Operation aufgebaut hat – vom Toolkit bis zur Verwaltungskonsole.

Gryxa verwandelt legitime Software für Remote Monitoring and Management (RMM) in verdeckten Zugriff, erhält die Persistenz mit unabhängigen Neustartmechanismen aufrecht und stiehlt in Chromium-basierten Browsern gespeicherte Zugangsdaten. Wenn die Verbindung zum Angreifer abbricht, versucht das Toolkit, den Endpoint-Protection-Agenten – zum Beispiel Microsoft Defender – innerhalb von 10 bis 13 Minuten zu deaktivieren oder zu deinstallieren. Sobald das Relay wieder erreichbar ist, wird Defender wieder aktiviert.

Die Indizien deuten darauf hin, dass der Akteur einen KI-Coding-Agenten per Jailbreak dazu brachte, die Entwicklung als „autorisierten internen Einsatz“ darzustellen. Das Toolkit wird vermutlich über Phishing-E-Mails verbreitet; nach der Ausführung richtet es die Persistenz über geplante Aufgaben ein und kann den Schutz der App-Bound Encryption von Chromium umgehen. Gesammelte Zugangsdaten werden über Telegram übertragen.

Der ungewöhnlichste Aspekt ist die Protokollierung von Bereinigungsaktivitäten: Nach der Entfernung des sichtbaren RMM-Implantats sammelt eine versteckte Komponente Windows-Protokolle und Host-Artefakte und lädt sie auf die Infrastruktur des Angreifers hoch. Die Konsole enthält einen vordefinierten Job namens collect-forensics, was auf eine routinemäßige Fähigkeit hindeutet und nicht auf die Reaktion auf einen einzelnen Vorfall. Gryxa rotiert Protokolldateien, wenn sie 200 KB überschreiten, und bewahrt so die jüngsten Aktivitäten für schnelle Reaktionsteams.

Abwehr: Wonach gesucht werden sollte und warum Schutzmaßnahmen nicht ausreichen

Es wurden keine spezifischen Mitigationsempfehlungen der Forscher veröffentlicht. Das technische Gesamtbild liefert jedoch nützliche Indikatoren für Verteidiger: Datenverkehr zu Xray-core, das Vorhandensein von Nmap, NetExec, BloodHound, Certipy oder Impacket ntlmrelayx, NTLM-Relay-Versuche sowie anomale Änderungen an Shadow Copies oder der Registry. Im Fall von Gryxa sollten nicht autorisierte RMM-Prozesse, verdächtige geplante Aufgaben und der Versand von Archiven über Telegram überwacht werden.

Der Fall Aurora zeigt, dass die Schutzmaßnahmen der KI-Modellanbieter den operativen Einsatz von Cursor Agent nicht verhindert haben. Der Angreifer musste keine eigenen Exploits schreiben: Er stellte dem Agenten gültige Zugänge bereit und leitete ihn mit Zielen, Nummern und vorab generierten Plänen. Das Risiko ist nicht die autonome KI, sondern die KI, die die Kosten jedes einzelnen Schritts innerhalb eines bereits kompromittierten Netzwerks senkt.