Aur0ra 勒索团伙利用 Cursor AI 智能体获取域管理员权限并窃取数据

Sophos 反威胁部门称，与 Aur0ra 勒索软件关联、被追踪为 GOLD OGRE 的团伙使用 Cursor AI 智能体从窃取的凭据一路拿到域管理员权限，随后收集数据并准备部署勒索软件。攻击者把任务描述成获授权的红队工作或诊断测试以绕过 AI 安全规则，入侵主要由 Cursor 的 Composer 模型执行，也用到 Anthropic、xAI 和 Moonshot 的模型。智能体完成网络测绘、横向移动、密码喷洒、Kerberoasting 和 NTLM 强制与中继，并从文件和备份中提取凭据；在部分受害者网络中智能体获得域管理权限，其中三个受害者后来出现在 Aur0ra 泄露站点，窃取的文件被暂存并发送到兼容 S3 的存储。Sophos 建议修补面向互联网的设备、采用抗钓鱼多因素认证、隔离备份、审查域管理员权限并对关键服务器分段。