Il ransomware Aurora sta attirando sempre più attenzione nel panorama della cybersecurity per un elemento nuovo e inquietante: l’uso di strumenti di intelligenza artificiale commerciali per accelerare e guidare le fasi operative di un attacco. Analisi indipendenti hanno evidenziato come operatori legati ad Aurora abbiano sfruttato Cursor, un assistente di coding basato su AI, per pianificare e supportare intrusioni in reti aziendali.
Dai dati emersi da infrastrutture esposte sono stati ricostruiti mesi di attività con campagne contro organizzazioni in più paesi e un approccio strutturato che include anche l’esclusione sistematica di domini e intervalli di rete riconducibili all’area CIS.
Aurora è stato osservato in continua evoluzione, con aggiornamenti incrementali e ampliamento di funzionalità. Le vittime segnalate includono aziende in diversi mercati tra cui Stati Uniti, Germania, Paesi Bassi, Canada e Regno Unito. In uno scenario di accesso iniziale gli attaccanti hanno combinato email bombing e telefonate mirate fingendosi supporto IT per ottenere collaborazione dalle persone e stabilire accesso remoto. Da lì la catena di attacco procede con movimento laterale tramite protocolli come SMB, LDAP, WinRM, RDP e RPC fino al raggiungimento di account con privilegi elevati. Una volta ottenuto il controllo vengono eseguite tecniche di evasione come pulizia dei log e disattivazione di Microsoft Defender, seguite da raccolta ed esfiltrazione dati e distribuzione del cifratore.
Sul piano tecnico è stata identificata una base di codice unica in Zig da cui vengono compilate versioni per Windows e per Linux, inclusi ambienti ESXi. La variante Windows può impedire il ripristino eliminando copie shadow e disabilitando System Restore tramite registro, mentre la variante Linux/ESXi tenta di terminare le macchine virtuali prima di avviare la cifratura. Sono emersi anche dettagli su negoziazioni di riscatto e su wallet di criptovalute con ripartizioni variabili tra affiliati e operatori principali, con percentuali che possono superare la metà dell’importo.
Un ulteriore elemento critico riguarda l’uso di Cursor Agent con un modello AI per attività di exploitation assistita su 10 bersagli. All’agente venivano forniti credenziali o un percorso già disponibile e venivano delegati compiti come configurare VPN o proxychains, scansioni interne con Nmap o NetExec, enumerazione di dominio e raccolta privilegi, oltre a tentativi di NTLM relay e attacchi basati su certificati con strumenti dedicati. L’uso dell’AI non elimina gli errori ma riduce i tempi di iterazione grazie a correzioni rapide di comandi e script, aumentando la pressione sui team di difesa soprattutto in ambienti Active Directory e infrastrutture virtualizzate.