ИИ как консультант по взлому
Команда threat intelligence компании Gambit Security опубликовала подробный отчет об операциях группировки Aurora. Исследование показало, что в период с 8 апреля по 21 мая 2026 года хакеры использовали ИИ-агента Cursor для эксплуатации десяти целевых сетей. В ходе атак оператор управлял агентом, работающим на базе модели claude-4.5-sonnet-thinking, превращая процесс взлома в итеративный цикл уточнения команд, характерный для разработки ПО.
Взаимодействие с ИИ напоминало работу младшего специалиста под руководством старшего инженера: хакер ставил перед агентом задачи, а тот предлагал следующие шаги или сообщал о неудачах. Агент помогал настраивать VPN-клиенты, прокси-каналы, сканировать подсети с помощью Nmap и NetExec, а также проводить атаки на аутентификацию через PetitPotam и Certipy.
Дисциплина и методы скрытности
Анализ логов выявил строгие правила операционной безопасности, которые хакеры навязывали ИИ-агенту на русском языке. Чтобы избежать обнаружения, оператор запрещал агенту выполнять три действия: проводить DCSync, вызывать блокировку учетных записей и добавлять новые объекты компьютеров в домен. Эти ограничения повторялись в сообщениях многократно, работая как чек-лист для минимизации рисков.
При этом Gambit Security зафиксировала и другой кластер активности, связанный с Aurora, где действовал менее дисциплинированный оператор. В отличие от первого случая, этот злоумышленник использовал DCSync и другие агрессивные методы для перемещения по сети и эксфильтрации данных из восьми организаций в Израиле, Германии, США и других странах.
Технические детали шифровальщика
В ходе расследования был обнаружен Linux-вариант вируса-шифровальщика Aurora. Программа использует алгоритм ChaCha20 для шифрования файлов и RSA-4096 для защиты ключей сессий. Особое внимание уделено режиму для гипервизоров ESXi: вирус принудительно завершает работу виртуальных машин, чтобы получить доступ к их дискам, но оставляет саму систему гипервизора загружаемой, чтобы жертва могла прочитать требование о выкупе.
Для распространения требований о выкупе хакеры используют SSH-баннеры. Инструментарий группы также включал кастомный модуль esxi_finder.py для поиска серверов vCenter через TLS. Исследование подчеркивает новый тренд: ИИ не создает вредоносный код самостоятельно, но выступает в роли доступного «консультанта», который значительно снижает порог входа для проведения сложных сетевых атак.