Cursor-Missbrauch: Ransomware-Gruppe Aurora nutzt KI für Netzwerk-Angriffe
Veröffentlicht am: 28.08.2026 um 00:33 Uhr | Redaktion boerse-global.de
Die Sicherheitsfirma Gambit Security hat in einem aktuellen Bericht dargelegt, dass die Ransomware-Gruppe Aurora den KI-Agenten Cursor für manuelle Netzwerk-Intrusionen bei mindestens zehn Organisationen zweckentfremdet hat.
Der Bericht dokumentiert eine Reihe von Angriffen, die sich in den Monaten April und Mai 2026 ereigneten. Dabei setzten die Angreifer das KI-gestützte Entwicklungswerkzeug ein, um komplexe Aufgaben wie die Einrichtung von VPN-Verbindungen, Netzwerk-Scans sowie NTLM-Relay- und Zertifikatsangriffe durchzuführen.
Der Cursor-KI-Agent basiert laut Branchenberichten auf dem Modell Claude Sonnet 4.5 von Anthropic. Den Analysen von Gambit Security zufolge gelang es den Angreifern, die internen Sicherheitsvorkehrungen der KI zu umgehen, indem sie vorgaben, eine harmlose Simulation durchzuführen. Auf diese Weise instruierten sie das System für ihre bösartigen Zwecke.
Gezielte Steuerung und technische Details der Angriffe
Während der Operationen legte der menschliche Operator spezifische Verhaltensregeln für den KI-Agenten fest. Um Entdeckung und unbeabsichtigte Störungen im Netzwerk zu vermeiden, wurde die KI angewiesen, keine DCSync-Angriffe durchzuführen, keine Kontosperrungen zu verursachen und keine neuen Computer-Objekte im Active Directory zu erstellen.
In den untersuchten Fällen setzten die Akteure zudem einen speziellen Linux-Verschlüsseler ein. Dieser weist eine Dateigröße von 139 KB auf und nutzt die Verschlüsselungsalgorithmen ChaCha20 sowie RSA-4096. Die Software verfügt zudem über einen ESXi-Modus, der gezielt auf Virtualisierungsumgebungen in Unternehmen ausgerichtet ist.
Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu? Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-Report zu Cyber-Sicherheits-Trends herunterladen
Neben dem Hauptakteur identifizierte Gambit Security mit mittlerer Konfidenz einen zweiten Cluster mit abweichender Vorgehensweise, der ebenfalls der Aurora-Gruppe zugeschrieben wird.
Betroffene Unternehmen und geografische Ausbreitung
Die Liste der identifizierten Opfer umfasst namhafte Organisationen in verschiedenen Ländern. Dazu gehören unter anderem die belgische Chemiefirma Christeyns, der deutsche Bauelementehersteller Teckentrup sowie die Helideck Certification Agency und Bayou Title. Geografisch erstreckten sich die Aktivitäten auf Deutschland, Belgien, Italien, Schottland, Argentinien und die USA.
Die Sicherheitsforscher erhielten detaillierte Einblicke in die Vorgehensweise, nachdem sie einen offenliegenden Server der Gruppe Aur0ra entdeckten. Auf diesem befanden sich 28 Chat-Sitzungen, welche die Interaktion mit dem KI-Tool dokumentierten.
Gambit Security schätzt, dass der Einsatz von KI-Werkzeugen wie Cursor die notwendige manuelle Arbeit bei Cyberangriffen um etwa 30 bis 50 % reduzieren kann. Dies verdeutlicht das Potenzial von KI, die Skalierbarkeit und Effizienz krimineller Operationen erheblich zu steigern.
Wer sich mit dem Einsatz von KI-Systemen befasst, muss heute nicht nur technische Risiken, sondern auch komplexe regulatorische Vorgaben beachten. Dieser kostenlose Download verschafft Ihnen den Überblick über Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt braucht. EU AI Act in 5 Schritten verstehen
Weitere Erkenntnisse durch CloudSEK
Ergänzend zu den Untersuchungen von Gambit Security veröffentlichte das Sicherheitsunternehmen CloudSEK ebenfalls Erkenntnisse über einen russischsprachigen Ableger der Aurora-Gruppe. In der Zeit zwischen April und Juli 2026 griff dieser Affiliate mehr als 20 Organisationen in neun Ländern an. Bei 17 dieser Opfer erlangten die Angreifer vollständigen Zugriff auf die Netzwerk-Domain.
Wiederhergestellte Chat-Protokolle belegen laut CloudSEK, dass die KI zur Planung von komplexen Angriffssequenzen genutzt wurde, einschließlich des Missbrauchs von Active Directory Certificate Services (AD CS). In einem dokumentierten Fall konnte eine bereits erfolgte Lösegeldzahlung mithilfe von TRM Labs nachverfolgt werden.
Die vorliegenden Belege unterstreichen jedoch, dass es sich bisher nicht um vollständig autonome Angriffe handelt, sondern um eine KI-gestützte Planung und Unterstützung bei der manuellen Ausführung durch menschliche Akteure.
Interessanterweise wurde Cursor Anfang August 2026 offiziell in die Arbeitsabläufe von SpaceX integriert, was die wachsende Bedeutung des Tools in der regulären Softwareentwicklung unterstreicht, während Sicherheitsforscher gleichzeitig vor dem Missbrauchspotenzial durch Cyberkriminelle warnen.
