Aur0ra Ransomware Hackers Use Cursor AI Agents to Gain Domain Admin Access and Steal Data

Ransomware crews are now giving the hardest parts of a network break-in to AI coding tools. A group linked to Aur0ra ransomware used Cursor AI agents to go from stolen passwords to domain admin access, the highest level of control in a Windows network. From there, it collected data and prepared to deploy ransomware. The group behind Aur0ra, also spelled Aurora, is tracked as GOLD OGRE. Human operators supplied VPN access, targets and goals, and the agents handled most of the work with little help. This lowers the skill needed to run a full intrusion. It also matters for every company that relies on Active Directory, as shown in an earlier report on Aurora that covered the same crew’s use of AI planning. Sophos analistleri, Cursor ile oluşturulmuş yapay zeka destekli bir test çerçevesini incelerken bu aktiviteyi tespit etti. Şirketin Tehdit Karşıtı Birimi, bu çerçeveyle ilgili araştırmayı Mayıs 2026'da yayınladı. Aurora fidye yazılımı saldırganları Cursor yapay zeka ajanlarını kullanıyor.

Bu çerçeve, Sophos'un kendi ajanı da dahil olmak üzere çeşitli uç nokta tespit ve yanıt (EDR) ürünlerini test etmişti. Daha sonra, Sophos'un tam analizine göre, aynı altyapının Aur0ra operasyonları için Cobalt Strike'a ev sahipliği yaptığı görüldü. Sophos, etkilenen müşterileri uyardığını ve diğer mağdurları bilgilendirmek için kolluk kuvvetleriyle birlikte çalıştığını söyledi. Ağustos ayının sonlarında analistler, hem fidye yazılımı çalışmasına hem de kaçınma testine bağlı Cursor dosyalarını kurtardı. The attackers used Cursor to climb from credential access to domain administrator. They got past AI safety rules by describing the work as an authorized red team job or “diagnostics testing.” Cursor’s Composer model ran many of the intrusions, along with models from Anthropic, xAI and Moonshot. Grup başlangıçta neredeyse tamamen Anthropic'i kullandı, ardından araç geliştirme aşamasından ağlara sızmaya geçerken diğerlerini de ekledi. Diğer ekiplerin de fidye yazılımı çalışmalarını planlamak için Claude AI'yı kullandığı tespit edildi, bu nedenle bu alışkanlık yayılıyor.