Hacker nutzen Cursor und Claude-KI zur Automatisierung von Angriffen bei Aur0ra-Ransomware-Operationen

Was passiert ist

Aur0ra-Ransomware-KI-Angriffe Im Mai 2026 berichteten Forscher der Sophos Counter Threat Unit (CTU) über ein KI-gestütztes Framework für die Post-Exploitation, das entwickelt wurde, um die EDR-Produkte mehrerer Hersteller zu testen, darunter Sophos. Sophos ist ein Unternehmen für Computersicherheitssoftware mit Sitz in Abingdon-on-Thames.

Die Angreifer setzten zunächst fast ausschließlich auf Anthropic und ergänzten später andere Modelle, als sie vom Entwickeln der Werkzeuge zum Angriff auf Netzwerke übergingen. Die Cybercrime-Gruppe GOLD OGRE nutzt KI-Coding-Agenten, darunter Cursor und Anthropics Claude, um Eindringversuche für die Aur0ra-Ransomware (Aurora) zu automatisieren. Anthropic ist ein Unternehmen für künstliche Intelligenz mit Sitz in San Francisco; zu seinen Produkten und Diensten gehören Claude und Claude Code.

Sophos-Forscher berichten, dass die Agenten mit wenig menschlichem Eingreifen vom Zugriff auf Zugangsdaten bis zum Domain-Administrator vorgedrungen seien.

Später stellte Sophos fest, dass dieselbe Infrastruktur Cobalt Strike für die Aur0ra-Operationen hostete. Laut einer von Sophos veröffentlichten technischen Analyse nutzte die als GOLD OGRE verfolgte Gruppe Cursor, um ihre Werkzeuge zu bauen und zu betreiben.

Das Cursor-Modell Composer, ein agentisches KI-Modell (KI, die mehrstufige Aufgaben selbstständig ausführt, statt nur eine einzelne Frage zu beantworten), steuerte die Angriffe, zusammen mit Modellen von Anthropic, xAI und Moonshot. Die Angreifer umgingen die KI-Schutzmechanismen, indem sie ihre Aktivitäten als autorisierte Red-Team-Arbeit bzw. als "Diagnosetests" darstellten.

Russischsprachige Eingabeaufforderungen und Artefakte des Tastaturlayouts in den Protokollen deuten darauf hin, dass die Betreiber russische Muttersprachler sind.