veilletech.fr
1 sept. Feed du jour
#03 SÉCURITÉ Faille

Aurora : un agent Cursor dans l'intrusion

L'agent ne rend pas l'attaque meilleure, il la rend moins chère.

Deux analyses indépendantes, à partir d'un répertoire ouvert, montrent les opérateurs d'Aurora utilisant Cursor Agent pour planifier et exécuter des phases d'intrusion. Le fait notable n'est pas la puissance de l'agent — la plupart de ses commandes échouaient d'abord — mais la baisse du coût d'une attaque manuelle.

3 min de lectureintermédiairevidéo 1:19
Partager
Sommaire4 sections
  1. Ce qui se passe
  2. Pourquoi ça compte
  3. Ce que ça change
  4. À retenir

Ce qui se passe

Les opérateurs du rançongiciel Aurora (aussi écrit Aur0ra), groupe russophone apparu publiquement fin mai 2026 via un rapport CYFIRMA, ont laissé une infrastructure exposée. CloudSEK et Gambit Security y ont récupéré, chacun de leur côté, la boîte à outils, l'historique du shell et le chiffreur.

CloudSEK décrit un répertoire ouvert contenant « des mois d'activité », dirigée entre avril et juillet 2026 contre plus de 20 organisations dans 9 pays, dont quatre déjà publiées sur le site de fuite. Ransomware.Live compte 33 victimes, aux États-Unis, en Allemagne, aux Pays-Bas, au Canada et au Royaume-Uni.

Pourquoi ça compte

L'historique de conversation montre l'usage de Cursor, assistant de code agentique, non pas pour écrire un outil mais pour conduire l'intrusion. Gambit Security a observé Cursor Agent, exécutant Claude Sonnet, sur 10 cibles entre le 8 avril et le 21 mai 2026. « Dans ces cas, l'agent recevait des identifiants ou une route existante vers l'organisation victime », explique Eyal Sela, directeur du renseignement sur les menaces chez Gambit.

Les tâches déléguées sont des tâches d'exploitation ordinaires :

  1. installer proxychains ou un client VPN, le configurer, se connecter à la victime avec des identifiants fournis ou un tunnel SOCKS existant ;
  2. scanner les sous-réseaux internes avec Nmap ou NetExec ;
  3. énumérer le domaine et rapporter les privilèges d'un compte, via le collecteur BloodHound de NetExec ;
  4. tenter un relais NTLM en forçant l'authentification avec PetitPotam, Coerce Plus et PrinterBug, puis relayer avec ntlmrelayx d'Impacket ;
  5. attaquer les certificats avec Certipy.

Parfois l'opérateur énonçait seulement l'objectif (« dis-moi quels droits a cet utilisateur ») ; l'agent proposait une liste d'étapes possibles et l'attaquant répondait par un numéro. Un plan complet d'exploitation AD CS a été rédigé en russe, en excluant systématiquement les plages d'adresses et les domaines des pays de la CEI.

Ce que ça change

Le détail qui désamorce le fantasme est dans le rapport lui-même : « la majorité des commandes n'atteignaient pas l'objectif au premier essai, entraînant plusieurs raffinements et modifications des commandes et scripts. » L'agent n'améliore pas l'attaquant, il abaisse le coût d'un travail qui se faisait déjà à la main.

Côté charge finale, les deux chiffreurs — sap.exe pour Windows et encrypt.out pour Linux et ESXi — sont des builds statiques Zig issus d'une seule base de code, compilés pour deux cibles. Le binaire Windows embarque encore les exemples d'usage de la version Linux, résidu du tronc partagé. La variante Windows supprime les clichés instantanés et désactive la restauration système via le registre ; la variante ESXi tue toutes les machines virtuelles de l'hôte avant de chiffrer.

Source : The Hacker News — Aurora Ransomware Operators Use Cursor AI in Attacks Against 10 Targets