Aurora détourne Cursor Agent pour ses attaques de rançongiciel

Aurora ciblait dix victimes. Les opérateurs du rançongiciel Aurora ont utilisé Cursor Agent dans des campagnes d’exploitation entre le 8 avril et le 26 mai 2026. Gambit Security a documenté ces activités dans une étude publiée le 27 août 2026. Les attaquants faisaient exécuter Claude Sonnet par Cursor Agent. Ils lui confiaient des tâches après compromission, avec des identifiants ou un accès déjà établi vers l’organisation ciblée. Les missions comprenaient l’exploration de l’environnement, l’installation d’un client VPN et l’exécution d’attaques sur certificats. L’étude porte sur dix victimes. Elle montre aussi que l’agent n’atteignait pas systématiquement les objectifs demandés par les opérateurs.

Cursor Agent exécutait des commandes. L’outil est utilisé par des développeurs pour réaliser des tâches complexes, lancer des commandes dans un terminal et modifier du code. Dans les campagnes observées, Aurora lui demandait parfois d’indiquer les droits associés à un utilisateur. Les opérateurs lui fournissaient aussi un outil d’exploitation précis ou un plan d’attaque déjà préparé. Cursor Agent devait notamment énumérer le domaine et identifier les privilèges d’un compte fourni. Il utilisait le collecteur BloodHound de NetExec. Il pouvait également scanner les sous-réseaux internes avec Nmap ou NetExec. Gambit Security décrit cette utilisation comme une aide aux activités menées après la compromission.

Aurora automatise plusieurs étapes

Les relais NTLM figuraient parmi les tâches. Cursor Agent a reçu pour instruction de tenter des attaques par relais NTLM. Les opérateurs s’appuyaient sur PetitPotam, Coerce Plus et PrinterBug pour provoquer l’authentification. L’agent exécutait aussi des attaques sur certificats avec Certipy. D’autres commandes portaient sur l’installation d’un client VPN ou de proxychains. Cursor Agent devait ensuite configurer ces outils et se connecter à la victime. Les connexions utilisaient des identifiants fournis ou un tunnel SOCKS déjà disponible. Ces exemples montrent une délégation de commandes techniques précises. Ils ne démontrent pas que chaque action a abouti.

Les premiers essais échouaient souvent. Les chercheurs de Gambit Security indiquent que la majorité des commandes n’atteignaient pas leur objectif dès la première tentative. Les opérateurs modifiaient alors les commandes et les scripts associés. Certaines séquences finissaient par réussir. D’autres se terminaient par un rapport décrivant seulement les tentatives effectuées. Cette observation concerne les différentes tâches confiées à Cursor Agent pendant les campagnes. L’étude décrit donc une utilisation expérimentale de l’outil par les acteurs Aurora. Gambit Security estime que ces acteurs testent continuellement des outils d’IA pour accélérer et renforcer leurs opérations. L’analyse complète est publiée par Gambit Security.

Aurora cible aussi les environnements ESXi

Une variante Linux ciblait VMware. L’étude publiée le 27 août décrit aussi un nouveau rançongiciel Linux capable de viser des environnements ESXi. Les attaquants utilisaient esxi_finder.py, un module LDAP personnalisé de NetExec. Ce module servait à rechercher les hyperviseurs VMware ESXi et les serveurs vCenter dans le réseau de la victime. La variante chiffre les fichiers des machines virtuelles. Elle ignore les volumes système. L’hyperviseur reste ainsi amorçable, ce qui permet à la victime de lire la demande de rançon. Gambit Security a aussi observé un second groupe d’activités, attribué avec une confiance moyenne à un opérateur Aurora, visant huit organisations dans six pays.

Aurora opère depuis avril. Les huit organisations du second groupe se trouvaient en Israël, en Allemagne, en Autriche, en Espagne, aux États-Unis et en Argentine. L’activité du rançongiciel Aurora est observée depuis avril 2026. Le groupe exploite un site de publication de données volées. Ses campagnes ciblent des organisations situées dans plusieurs pays. Les observations réunissent donc deux volets distincts : l’usage de Cursor Agent dans des activités d’exploitation et le déploiement d’une variante Linux contre ESXi. Le compte rendu de Gambit Security détaille ces éléments. Infosecurity Magazine a également rapporté cette étude. Pour aller plus loin, consultez notre guide sur déployer un agent IA en PME sans développeur.