Gambit Security beobachtete, wie der Aurora-Betreiber den Cursor Agent mit Anthropics Claude Sonnet zwischen dem 8. April und dem 21. Mai 2026 bei der praktischen Ausnutzung von zehn Zielen einsetzte. „In diesen Fällen erhielt der Agent Zugangsdaten oder einen bereits bestehenden Zugang zur Opferorganisation", sagte Eyal Sela, Leiter Threat Intelligence bei Gambit Security. „Anschließend wurde er mit verschiedenen Ausnutzungstätigkeiten beauftragt."
Die Arbeitsteilung reichte dabei von grober Zielvorgabe bis zur Detailanweisung: Mal fragte der Angreifer lediglich, „sag mir, welche Rechte der Benutzer hat", mal gab er das einzusetzende Werkzeug vor oder verwies auf einen zuvor erzeugten Angriffsplan. Teils schlug der Agent eine Liste möglicher nächster Schritte vor — der Angreifer antwortete nur mit der entsprechenden Nummer. Ausgelagert wurden unter anderem NTLM-Relay-Angriffe, bei denen die Authentifizierung mit PetitPotam, Coerce Plus und PrinterBug erzwungen und mit Impacket ntlmrelayx weitergeleitet wurde, sowie Zertifikatsangriffe mit Certipy.
Brillant funktionierte das nicht: „Die Mehrzahl der Befehle erreichte das gesetzte Ziel nicht im ersten Anlauf, was zu mehrfachen Anpassungen der Befehle und Skripte je Aufgabe führte", so Gambit. Manche Versuche waren am Ende erfolgreich, andere lieferten dem Angreifer nur einen Bericht über die gescheiterten Anläufe.
CloudSEK fand Windows- und Linux-Varianten von Aurora, beide in Zig geschrieben. Die wiederhergestellte Chat-Historie zeigt intensiven Cursor-Einsatz für die Planung einzelner Angriffsphasen, darunter einen vollständigen, auf Russisch verfassten Plan zur Ausnutzung der Active Directory Certificate Services (AD CS). „Beide Verschlüsseler-Binärdateien, das Windows-Programm sap.exe und das Linux/ESXi-Programm encrypt.out, sind statische Builds aus einer einzigen Zig-Codebasis, für unterschiedliche Ziele kompiliert statt zweimal geschrieben", so CloudSEK. Die Windows-Datei trage sogar die Nutzungsbeispiele des Linux-Builds in sich. Unter Windows löscht die Schadsoftware Schattenkopien und deaktiviert die Systemwiederherstellung über die Registry; die Linux/ESXi-Variante versucht, vor der Verschlüsselung sämtliche virtuellen Maschinen des Hosts zwangsweise zu beenden. Ein Python-Skript namens esxi_finder.py sucht im Opfernetz nach VMware-ESXi-Hypervisoren und vCenter-Servern.
Ein aus dem Verschlüsseler geborgener Schlüssel öffnete den Forschern den Zugang zu einer Lösegeldverhandlung sowie zu vier Kryptowallets. Die Aufteilung schwankt: Partner erhalten zwischen 54 und 79 Prozent, der Rest geht an die Administratoren — offenbar wird der Anteil je Opfer anhand der geforderten Summe und der Umsatzzahlen des Opfers festgelegt.
Black Hills Information Security beschrieb kürzlich einen Fall, in dem der Erstzugang über massives E-Mail-Bombing und anschließende Anrufe bei Beschäftigten erfolgte, bei denen sich die Angreifer als IT-Helpdesk ausgaben und Fernzugriff über das Open-Source-Werkzeug Xray-core einrichteten. Danach folgten laterale Bewegung über SMB, LDAP, WinRM, RDP und RPC, die Übernahme hochprivilegierter Administratorkonten, das Löschen von Protokollen und das Abschalten von Microsoft Defender, bevor Daten abgezogen und der Verschlüsseler ausgerollt wurde.
Die Namen der betroffenen Unternehmen wurden nicht offengelegt; laut Reuters handelt es sich um Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, einen argentinischen Pharmagroßhändler und einen italienischen Hersteller.
Parallel meldete ReliaQuest den KI-gestützten Werkzeugkasten Gryxa, mit dem ein finanziell motivierter Akteur eine Initial-Access-Operation gegen 324 Hosts betreibt — nach Einschätzung von ReliaQuest der erste beobachtete Fall, in dem KI die gesamte Operation vom Werkzeugkasten bis zur Bedienkonsole gebaut hat. Gryxa missbraucht legitime RMM-Software als verdeckten Zugang, hält ihn über mehrere unabhängige Neustartmechanismen aufrecht und stiehlt in Chromium-Browsern gespeicherte Zugangsdaten, wobei es Chromiums App-Bound Encryption umgeht; die Daten fließen über Telegram ab. Der Entwickler umging die Schutzmechanismen eines KI-Coding-Agenten, indem er das Vorhaben als „autorisierte interne Bereitstellung" ausgab. Wird die Verbindung zum Angreifer unterbrochen, versucht Gryxa binnen etwa 10 bis 13 Minuten, Endpunktschutz wie Microsoft Defender abzuschalten oder zu deinstallieren, und aktiviert Defender wieder, sobald das Relay erreichbar ist. Zudem protokolliert die Software Bereinigungsversuche: Nach Entfernen des sichtbaren RMM-Implantats sammelt eine versteckte Komponente Windows-Protokolle und lädt sie hoch. Die Konsole des Akteurs enthält dafür einen fertigen Auftrag namens collect-forensics.