Aurora 勒索軟體集團近期遭外媒披露，正同時採取兩項值得資安防禦端關注的行動：其一是
濫用 AI 程式碼協作工具 Cursor Agent（AI 程式碼代理工具）協助入侵後攻擊；其二是
部署可鎖定 VMware ESXi 虛擬化環境的新型 Linux 勒索軟體變種。根據 Gambit Security 威脅情報團隊發布的最新研究，
上述兩項發現皆與 Aurora 集團今年以來持續擴大的攻擊行動有關。Cursor Agent 原本是軟體開發人員用於獨立完成複雜程式撰寫、執行終端機指令與編輯程式碼的生產力工具，如今卻遭攻擊者挪為己用。
AI程式碼助手成入侵後攻擊工具
研究指出，Aurora 操作者於今年 4 月 8 日至 5 月 26 日間，針對 10 個受害組織，透過 Cursor Agent 執行多項入侵後任務。攻擊者會先提供既有帳密或既有入侵管道，再指示 Cursor Agent 進行偵察、部署 VPN 用戶端與憑證攻擊等操作。而 Cursor Agent 背後運行的模型為 Claude Sonnet。
部分指令僅設定目標，例如要求 Cursor Agent「回報使用者擁有哪些權限」；另一些指令則明確指定滲透工具或既定攻擊計畫，包括利用開源滲透測試工具 NetExec 旗下的 BloodHound 收集器列舉網域權限，並以 Nmap 或 NetExec 掃描內部子網路主機。此外，
攻擊者也指示 Cursor Agent 嘗試以 PetitPotam、Coerce Plus、PrinterBug 等工具強制觸發身分驗證，藉此發動 NTLM 中繼攻擊（NTLM Relay Attack），並透過 Certipy 執行憑證攻擊。
在建立連線方面，Cursor Agent 也被要求安裝並設定 VPN 用戶端或 proxychains，透過提供的帳密或既有 SOCKS 通道連接受害端。
研究團隊指出，多數指令在首次執行時未能達成既定目標，往往需要反覆調整指令與腳本內容，才逐步奏效；也有部分任務最終仍以失敗收場，僅回傳嘗試紀錄給攻擊者。這顯示威脅行為者正持續嘗試運用 AI 工具提升攻擊效率；儘管實際成功率仍有限，相關發展仍值得防禦端持續追蹤。
新型變種鎖定 ESXi 虛擬化環境 保留主機開機能力
Gambit Security 於 8 月 27 日發布的研究另指出，Aurora 操作者也部署一款新型 Linux 勒索軟體變種，可鎖定 VMware ESXi 虛擬化平台。
攻擊者使用自製 NetExec LDAP 模組 esxi_finder.py，在受害網路中掃描 VMware ESXi 與 vCenter 伺服器，藉此鎖定虛擬化管理節點。此變種會加密虛擬機器檔案，但略過系統磁碟區，使虛擬化主機本身仍可正常開機，讓受害組織得以讀取勒索訊息。
研究團隊另觀察到第二波攻擊活動，並以中等信心度將其歸因於 Aurora 操作者。受害組織橫跨以色列、德國、奧地利、西班牙、美國與阿根廷等 6 國，共計 8 個組織。Aurora 勒索軟體集團自今年 4 月起活躍，目前已架設資料外洩網站，並持續鎖定多國組織發動攻擊。
資安建議
面對 AI 程式碼助手遭挪用於攻擊行動，以及虛擬化環境成為勒索軟體鎖定目標的趨勢，企業可參考以下防禦重點：
- 監控組織內 AI 程式碼助手與代理工具的異常使用行為，特別留意涉及帳密輸入與終端機指令執行的操作
- 限制並監控 NTLM 流量，評估停用非必要的 NTLM 驗證機制，降低中繼攻擊風險
- 強化 ESXi 與 vCenter 管理介面的存取控制與多重要素驗證，並確保備份與復原機制涵蓋虛擬化基礎架構
- 留意 NetExec、BloodHound 等滲透測試工具遭濫用的跡象，及早發現網域列舉與橫向移動行為
本文轉載自 InfosecurityMagazine。