Дмитро Джугалик Автор новин видання "Межа". Пишу про те, чим сам активно захоплююся, а саме технології, ігри та кіно. 28 серпня, 16:45 0
Від квітня цього року, кіберзлочинне угрупування Aur0ra, яке спілкується російською мовою, застосовувало систему штучного інтелекту від стартапу Cursor AI (нині підрозділ SpaceXAI Ілона Маска) для несанкціонованого проникнення щонайменше в десять корпоративних мереж. Вони залучали Cursor Agent, побудований на основі Claude Sonnet 4.5, з метою “спрощення практичного застосування” в межах уражених мереж. Про це інформує видання Cybernews.
Згідно з даними звіту від Gambit Security, зазначені операції відбувалися в період з 8 квітня по 21 травня 2026 року. Аналітики Gambit стверджують, що їм вдалося проаналізувати 28 виявлених сеансів комунікації серед іншої інформаційної інфраструктури Aur0ra, що дозволило дослідникам детально вивчити, як саме штучний інтелект Cursor використовувався під час реальної кібернетичної атаки.
Дослідники виявили два вектори атак: один з них передбачає використання шкідливого програмного забезпечення для операційної системи Linux, яке здатне вражати середовища ESXi, а другий – задіює контрольовані зловмисниками S3-сумісні інфраструктури для викрадення даних.
На початковому етапі зловмисники розгортали версію свого фірмового шифрувальника Aur0ra для Linux, названу ESXi ransomware. Цей інструмент був розроблений для шифрування даних у середовищах VMware ESXi. Використовуючи Cursor з інтегрованим Claude Sonnet 4.5 у режимі аналізу, кіберзлочинці спочатку надавали інструменту кодування на основі ШІ набір облікових даних або вказували шлях до організації-жертви, після чого доручали йому виконання “типових завдань з експлуатації”.
Ці завдання включали сканування внутрішньої мережі, підвищення привілеїв, атаки з використанням викрадених облікових даних, спроби перехоплення NTLM-хешів та атаки на основі компрометації сертифікатів. У деяких випадках кіберзлочинці визначали конкретні інструменти або методи, які мав застосувати агент, тоді як в інших випадках штучний інтелект отримував поставлену мету та повну свободу дій для її досягнення.
У звіті Gambit зазначається, що у разі невдачі команд, Cursor неодноразово модифікував їх або пропонував альтернативні підходи, адаптуючись до специфіки середовища жертви. Часом агент навіть формував для членів Aur0ra пронумерований перелік потенційних подальших дій, з якого вони могли здійснювати вибір.
Учасники російськомовного угруповання також накладали певні обмеження на функціонал агента. Зокрема, вони забороняли йому виконання DCSync-атак, блокування облікових записів користувачів або створення нових об’єктів комп’ютерів у скомпрометованих доменах.
Дослідники відзначили, що Cursor відхиляв певні запити, кваліфікуючи їх як потенційно небезпечні або протиправні. Однак, за словами Еяля Селі, керівника відділу аналітики загроз у Gambit, ці захисні механізми виявилися відносно легкими для обходу. Села зазначив, що зловмисникам “майже завжди вдавалося подолати відмови, поновлюючи діалог і стверджуючи, що цілеспрямований злом був частиною тестового процесу”.