ランサムウェア「Aurora」、AIコードエディタ「Cursor」を悪用して標的組織へ攻撃

要点

• ロシア語圏のランサムウェア組織「Aurora」が、AIコーディングアシスタント「Cursor」を攻撃計画の策定や侵入活動に悪用していた実態が明らかになった。
• セキュリティ企業のCloudSEKとGambit Securityが流出インフラを分析し、10以上の標的組織に対する侵害でAIエージェントが悪用されていたことを報告した。
• 攻撃者はClaude Sonnetを搭載したCursor Agentに対し、対話形式で権限確認やツールの実行を指示して作業を進めていた。
• Auroraの暗号化ツールはZig言語で記述され、WindowsとLinux/ESXiの両環境向けに単一のコードベースから生成されていた。

リード文

ロシア語圏のサイバー犯罪グループが展開するランサムウェア「Aurora（別名：Aur0ra）」のオペレーターが、攻撃計画の策定や標的ネットワークの侵害活動にAIコーディングアシスタント「Cursor」を悪用していたことが判明した。セキュリティ企業のCloudSEKおよびGambit Securityが2026年8月31日までに公開した調査レポートによって明らかになった。攻撃者が誤って公開状態にしていたインフラからツール類や作業履歴が見つかり、AIエージェントを実際のサイバー攻撃に組み込む手口が確認されている。

露出したインフラから判明した標的と活動規模

今回の分析は、Auroraに関連するオープンディレクトリ（外部から誰でも閲覧可能な状態になっていた公開サーバー環境）から、攻撃者のツールキットやシェルの実行履歴、暗号化ツールが流出したことを発端としている。

CloudSEKの報告によると、流出したデータには2026年4月から7月にかけて9カ国の20組織以上を標的とした数か月分の活動ログが含まれていた。このうち4つの被害組織は、すでに同グループのデータ漏洩サイトに掲載されている。また、ランサムウェア追跡サイト「Ransomware.Live」のデータでは、これまでに米国、ドイツ、オランダ、カナダ、英国など計33の組織がAuroraによる被害を受けたと記録されている。Auroraに関する情報は2026年5月下旬にCYFIRMAの報告によって初めて公になり、Windows環境を主標的として機能追加を重ねていたことが知られていた。

AIアシスタント「Cursor」を用いた攻撃計画と侵入作業

流出したチャット履歴や実行ログの分析から、Auroraのオペレーターが攻撃の各フェーズでCursorを頻繁に使用していたことが判明した。

CloudSEKによると、攻撃者はロシア語を使ってCursor上で攻撃計画を作成していた。具体的には、Active Directory Certificate Services（AD CS：Windows環境の証明書発行・管理基盤）を悪用する完全な計画などが含まれていたという。なお、計画の作成時にはCIS（独立国家共同体）諸国のドメインやIPアドレス範囲が例外なく除外されていた。

一方、Gambit Securityの調査では、2026年4月8日から5月21日にかけて行われた10の標的組織に対する侵入作業において、Anthropic社の「Claude Sonnet」を搭載した「Cursor Agent」が直接使われていたことが確認された。

Gambit Securityの脅威インテリジェンスディレクターであるEyal Sela氏の説明によると、攻撃者はAgentに標的組織の認証情報や侵入経路を与え、さまざまな侵害タスクを実行させていた。「ユーザーが持つ権限を教えてほしい」といった目的のみを指示する場合もあれば、使用すべき悪用ツールの指定や、事前に作成した攻撃計画の実行を命じる場合もあったという。さらに、Agentが提示した次の行動候補リストに対して、攻撃者が番号を選んで返信するだけで侵入を進めていたケースも確認されている。

ソーシャルエンジニアリングと侵入後の展開手口

Auroraによる初期アクセスの手口については、Black Hills Information Securityが2026年8月上旬に詳細を報告している。

攻撃者は標的組織の従業員に対し、大量の迷惑メールを送りつける「メールボミング」を実行した上で、ITヘルプデスクを装って電話をかける。問題解決を口実に誘導し、オープンソースの通信ツール「Xray-core」を導入させてリモートアクセスを確立していた。

侵入に成功した後は、SMB、LDAP、WinRM、RDP、RPCなどのプロトコルを利用してネットワーク内を横展開（ラテラルムーブメント：侵害範囲を広げる活動）する。特権管理者アカウントの権限を掌握すると、イベントログの消去やMicrosoft Defenderの無効化を行って検知を回避し、機密データを窃取・外部送信した後に暗号化ツールを展開していた。

Zig言語による暗号化ツールの構造と身代金の分配

CloudSEKの分析により、Auroraの暗号化ツール（Windows向けの「sap.exe」およびLinux/ESXi向けの「encrypt.out」）は、プログラミング言語「Zig」で書かれた単一のコードベースから静的ビルドされていることが判明した。プラットフォームごとに別々にコードを書くのではなく、同一のソースツリーを共有してコンパイルされており、Windows版バイナリの内部にはLinux版の使用例テキストがそのまま残されていた。

Windows版には、ボリュームシャドウコピー（Windowsの自動スナップショット機能）の削除やレジストリ操作によるシステムの復元機能の無効化など、復旧を妨害する仕組みが備わっている。一方、Linux/ESXi版は仮想化環境を標的としており、暗号化処理を開始する前にホスト上で稼働しているすべての仮想マシンを強制終了させる機能を備えていた。

さらに、暗号化ツールから回収された鍵を解析したところ、攻撃者と被害者との身代金交渉の記録や、4つの暗号通貨ウォレットの存在が確認された。身代金の分配率はアフィリエイト（実行犯）が54%から79%を受け取り、残りが管理者組織に渡る仕組みとなっていた。この取り分比率は被害者ごとに要求額や企業の売上規模を考慮して決定され、不正に得られた資金はマネーロンダリングを経て換金されていたという。