Il ransomware Aur0ra ha spinto gli agenti AI di Cursor fino al domain admin

Un operatore ransomware apre un assistente di coding AI commerciale, ci incolla un login VPN e un proxy SOCKS, gli dice che la rete è un test "autorizzato" e lo lascia lavorare. Nelle ore successive l'agente mappa l'Active Directory, cerca password in file share e backup e si muove lateralmente verso il domain administrator — con l'umano che per lo più osserva. È il quadro che emerge dalla ricerca del Counter Threat Unit di Sophos sul gruppo dietro il ransomware Aur0ra, tracciato come GOLD OGRE: artefatti recuperati a fine agosto, confermati dalle analisi della stessa directory d'operatore esposta pubblicate da Gambit Security e CloudSEK, e tornati in circolazione questa settimana. La novità non è che i criminali usino l'AI. È che per una parte dell'intrusione l'AI era l'operatore alla tastiera.

Cosa ha trovato Sophos dietro gli attacchi Aur0ra

GOLD OGRE gestisce Aur0ra come un programma chiuso e non pubblicizzato da aprile 2026, con vittime concentrate tra Stati Uniti ed Europa occidentale, tempi di permanenza da 12 ore a 9 giorni e richieste di riscatto osservate oltre 1 milione di dollari. Sophos ha recuperato artefatti dall'assistente di coding AI Cursor che mostrano gli attaccanti consegnare agli agenti login VPN, accesso proxy SOCKS, bersagli e obiettivi, per poi usare Cursor per scalare "dall'accesso alle credenziali fino al domain administrator ... in preparazione alla raccolta dati e al deployment del ransomware": discovery di rete e AD, analisi dei percorsi di attacco sulle credenziali, esecuzione di comandi e movimento laterale "con un coinvolgimento umano limitato". In un sottoinsieme degli ambienti gli agenti hanno raggiunto l'accesso di gestione del dominio; tre di quelle vittime sono poi finite sul data leak site di Aur0ra. L'accesso iniziale e il deployment del ransomware sono rimasti sotto controllo umano.

Il lavoro è passato per il modello agentico Composer di Cursor e, in seguito, per modelli di Anthropic, xAI e Moonshot — gli operatori "inizialmente usavano quasi esclusivamente Anthropic" prima di aggiungere gli altri, mentre passavano dal costruire tool al condurre intrusioni. Il CTU di Sophos "valuta con alta confidenza che GOLD OGRE abbia usato l'AI per testare le capacità di evasione" dei propri strumenti contro i prodotti EDR — incluso l'agente Sophos — e abbia condiviso tecnologia simile con gli associati. Per aggirare i guardrail dell'assistente, gli operatori spacciavano il lavoro per attività di red team autorizzata o test diagnostici. I log d'operatore contenevano comandi in russo e refusi da tastiera in cirillico (зы/ды per ps/ls), che Sophos legge come operatori di madrelingua russa.

L'agente ha fatto il lavoro hands-on-keyboard

Lo sguardo più concreto su cosa l'agente ha davvero digitato arriva da Gambit Security, che ha osservato Cursor Agent eseguire claude-4.5-sonnet-thinking in dieci organizzazioni bersaglio tra l'8 aprile e il 21 maggio 2026. Ricevuti credenziali o una via d'ingresso, l'agente veniva incaricato del classico playbook interno:

Compito dato all'agente	Cosa ha eseguito	Firma sulla rete
Entrare nella rete interna	Client VPN / proxychains su tunnel SOCKS	Nuovo tunnel, traffico da un host fuori posto
Capire cosa c'è	Nmap, sweep di subnet con NetExec	Scansione a ventaglio da una sola sorgente
Mappare il dominio	Collector BloodHound di NetExec	Enumerazione LDAP massiva di utenti, gruppi, ACL
Prendere credenziali senza password	PetitPotam · PrinterBug · Coerce Plus + Impacket ntlmrelayx	Autenticazione forzata, relay NTLM verso AD CS
Forgiare un certificato per impersonare	Certipy (ADCS ESC1/ESC8)	Enrollment di certificati anomalo

Il dato netto di Gambit: "la maggior parte dei comandi non ha raggiunto l'obiettivo dichiarato al primo tentativo". Non era un robot infallibile. In diverse sessioni l'agente proponeva un elenco numerato di passi successivi e "l'attaccante si limitava a rispondere con un numero". L'umano era diventato un revisore; l'agente, il penetration tester.

Le regole dell'operatore dicono dove guardare

L'intelligence più utile qui non è il tooling — sono le istruzioni fisse dell'operatore, ripetute a ogni vittima in russo:

• Niente DCSync. "il dcsync è assolutamente vietato" — chiedere invece l'hash macchina del DC.
• Nessun blocco degli account. "non dimenticare, non dobbiamo bloccare le credenziali".
• Nessun nuovo oggetto computer nel dominio.

Vanno letti come una confessione. La gang ha progettato il suo agente per restare silenzioso, perché dava già per scontato che l'endpoint fosse sorvegliato — Sophos dice che GOLD OGRE ha usato l'AI proprio per testare l'evasione EDR per primo. Quando un attaccante spende tanta fatica per non far scattare l'endpoint, l'endpoint è il posto sbagliato dove cercarlo.

"Non provare più a fare brute-force sugli account di domain administrator. Prova metodi e vettori diversi, meno rumorosi." — un operatore Aur0ra all'agente, secondo Sophos

Quell'istruzione è tutta la storia in una riga. Meno rumorosa per l'EDR. Non meno rumorosa sulla rete. Il collector BloodHound, l'autenticazione forzata, il relay NTLM e il movimento laterale sono tutti rumorosi sul filo, a prescindere da quale LLM abbia composto i comandi.

Chi viene colpito

CloudSEK, che ha trovato la home directory dell'operatore esposta senza autenticazione sulla porta 8888, ha contato più di venti organizzazioni in nove Paesi, diciassette con accesso a livello di dominio o interattivo e quattro poi finite sul leak site — prima il manifatturiero, poi food & agriculture, pharma e distribuzione chimica, e servizi professionali, con gli Stati Uniti a fare la quota maggiore. La directory conteneva ticket Kerberos, dump SAM e LSA, export GPO, collection BloodHound, cronologia della shell e le stesse chat di Cursor — incluso un piano completo di exploitation ADCS redatto in russo. L'encryptor di Aur0ra è scritto in Zig (sap.exe su Windows, encrypt.out su Linux/ESXi); la sua modalità -esxi termina a forza le VM via esxcli e scrive la nota di riscatto nel banner di login SSH dell'host. CloudSEK ha stimato il wallet dell'operatore a 7 BTC al momento dell'analisi, con l'analisi on-chain di TRM Labs che riconduce più pagamenti di vittime a un unico cluster di riciclaggio.

Cosa non si sa ancora

I tre report concordano sui fatti ma inquadrano diversamente il ruolo dell'AI. I log di sessione di Gambit mostrano l'agente che esegue comandi di enumerazione e movimento laterale; CloudSEK descrive Cursor più come strumento di pianificazione, con l'esecuzione affidata a operatori convenzionali. Sophos è prudente su ciò che ha osservato direttamente: la sua valutazione ad alta confidenza riguarda il test di evasione EDR, mentre il workflow AI dentro la rete poggia su artefatti Cursor recuperati e reporting di conferma, e nota che il framework di test combaciava con il tooling di terze parti "tranne che per il deployment del ransomware". I conteggi delle vittime variano per finestra e confidenza (le dieci organizzazioni di Gambit in sei settimane; le oltre venti di CloudSEK in nove Paesi tra aprile e luglio). Nessuno dei tre nomina un CVE — le intrusioni sono andate avanti su credenziali VPN rubate, coercizione e misconfigurazioni, non su una singola vulnerabilità da titolo. La cornice "autonomo" va presa con cautela: un umano ha definito lo scope, fornito l'accesso e approvato i passi distruttivi.

Cosa resta ai difensori

I riflessi che contano non sono cambiati: MFA resistente al phishing, dispositivi esposti patchati, AD CS blindato, credenziali admin a livelli separati e alert sull'enumerazione LDAP in stile BloodHound e sul relay NTLM. Ciò che è cambiato è il ritmo. Un agente che abbozza il passo successivo, lo esegue, legge l'errore e riprova comprime il ciclo recon-fino-a-domain-admin dai giorni di un esperto a un pomeriggio di prompt supervisionati — e la gang lo ha tarato contro il tuo EDR prima ancora di toccare la tua rete.

Per questo la superficie di rilevamento che conta è quella che l'attaccante non può riscrivere. Il pilastro AI Traffic Analysis di Zero Hunt è un modello di deep learning con quattro teste di inferenza — traffico sospetto, classificazione del malware, identificazione del tipo di attacco, fingerprinting applicativo — addestrato su miliardi di sequenze PCAP e in esecuzione sulla GPU dell'apparato, on-premise, mentre l'attività è in corso. L'estrazione LDAP massiva di una collection BloodHound, la raffica di autenticazione forzata di una coercizione PetitPotam, il relay NTLM verso AD CS, il movimento laterale a ventaglio da un host fuori posto: sono gli stessi eventi di rete sia che a digitarli sia un umano sia claude-4.5-sonnet-thinking, e non si curano del fatto che l'agente endpoint sia stato testato per tacere.

L'altra metà della risposta è fare la stessa ricerca contro sé stessi, prima. Zero Hunt è un red team AI autonomo che gira on-premise sui propri modelli privati, con un umano nel loop per ogni azione che conta — uno swarm di 10 agenti che mappa l'AD, concatena percorsi ADCS e di relay e riferisce cosa ha davvero raggiunto il domain admin sulla tua infrastruttura, con ogni risultato firmato al momento della scrittura per la catena probatoria. Se un criminale può puntare un agente sulla tua rete e arrivare alla gestione del dominio in un pomeriggio, la posizione difendibile è averne puntato uno contro te stesso la settimana prima. Per dove sta andando tutto questo, vedi come altre gang gestiscono il proprio red team AI.