Aurora usa Cursor negli attacchi ransomware: Berlino e Manchester perdono dati

🛡️ Executive Summary

• Aurora utilizza Cursor Agent con Claude Sonnet per ricognizione, privilege escalation, NTLM relay e attacchi AD CS dentro reti già compromesse.
• Berlino conferma l’esfiltrazione avvenuta tra il 7 e il 12 agosto; Rhysida rivendica 5,79 TB ma quantità e attribuzione restano non confermate.
• FulcrumSec rivendica il breach di Manchester Airports Group e sostiene di aver sottratto 86 GB, compresi dati dettagliati sulle prenotazioni dei viaggiatori.

Il ransomware del 2026 combina ormai automazione assistita dall’AI, furto massivo di informazioni e infrastrutture costruite principalmente per la pressione estorsiva. Le nuove analisi sull’operazione Aurora, o Aur0ra, mostrano un affiliato utilizzare Cursor Agent con Claude Sonnet direttamente durante le intrusioni, affidandogli ricognizione, enumerazione di Active Directory, configurazione dei pivot e tentativi di privilege escalation. Parallelamente, Berlino ha confermato nuovi flussi di dati sottratti dalla propria rete amministrativa, dopo la rivendicazione di Rhysida, mentre FulcrumSec sostiene di avere prelevato 86 GB da Manchester Airports Group. Tre casi differenti che mostrano la stessa evoluzione: l’obiettivo non è più soltanto cifrare sistemi, ma arrivare rapidamente ai dati più preziosi e trasformarli in leva economica.

Aurora usa Cursor Agent direttamente dentro le reti compromesse

Le analisi pubblicate da CloudSEK e Gambit Security aggiungono nuovi dettagli all’attività di Aurora ransomware, già osservata da aprile 2026. Gambit Security ha identificato infrastrutture esposte appartenenti all’operazione e sessioni nelle quali un operatore ha utilizzato Cursor Agent con claude-4.5-sonnet-thinking contro dieci organizzazioni tra l’8 aprile e il 21 maggio. L’AI non ha aperto autonomamente le reti: gli attaccanti disponevano già di credenziali o di un percorso di accesso e utilizzavano l’agente per accelerare il lavoro successivo. Cursor installava e configurava VPN o proxychains, eseguiva scansioni con Nmap e NetExec, interrogava Active Directory tramite il collector BloodHound e tentava attacchi NTLM relay attraverso PetitPotam, PrinterBug, Coerce Plus e ntlmrelayx. In altri casi veniva incaricato di verificare configurazioni Active Directory Certificate Services con Certipy. Molti comandi fallivano inizialmente e venivano corretti attraverso più iterazioni, elemento che ridimensiona l’idea di un ransomware autonomo ma conferma l’utilità dell’AI come copilota operativo durante una compromissione reale.

Il materiale recuperato da CloudSEK dall’infrastruttura lasciata esposta dall’affiliato ricostruisce mesi di attività contro più di 20 organizzazioni in nove Paesi tra aprile e luglio. Gli operatori combinavano NetExec, AS-REP Roasting, Kerberoasting, BloodHound, Evil-WinRM e strumenti per sfruttare configurazioni deboli di AD CS, facendo transitare le attività attraverso proxy SOCKS affittati. Cursor compare soprattutto nelle fasi di pianificazione e risoluzione dei problemi, comprese sequenze di attacco scritte in russo. Il nuovo materiale estende quindi quanto già emerso nell’analisi di Aur0ra e Cursor pubblicata dopo i primi sette casi confermati: l’agente AI non rappresenta semplicemente uno strumento utilizzato per scrivere malware, ma viene portato dentro il workflow di post-exploitation, dove riduce il lavoro manuale necessario per interpretare una rete e scegliere il passaggio successivo.

Leggi anche: Cursor AI e Claude erano già stati utilizzati per costruire e testare tecniche di evasione contro EDR e Windows Defender

Aurora colpisce anche ESXi con un encryptor scritto in Zig

L’operazione dispone inoltre di varianti per Windows, Linux e VMware ESXi sviluppate a partire dallo stesso codice in Zig. Gambit ha recuperato un encryptor Linux capace di utilizzare ChaCha20 sui contenuti e proteggere le chiavi di sessione attraverso una chiave pubblica RSA-4096 incorporata. In modalità ESXi, il ransomware enumera le macchine virtuali in esecuzione attraverso esxcli vm process list, forza la loro terminazione e cifra file come vmdk, vmx, vmsd, vmsn, nvram, vmem e vswp, preservando invece i volumi di sistema dell’hypervisor. Un modulo personalizzato, esxi_finder.py, cerca inoltre host ESXi e vCenter interrogando LDAP, scansionando le porte 443 e 902 e utilizzando certificati TLS ed endpoint web per identificare prodotto e build.

È una struttura progettata per arrivare direttamente alla virtualizzazione, dove poche macchine fisiche possono contenere decine di workload critici. Il modello segue una tendenza ormai consolidata nelle campagne ransomware contro VMware ESXi e infrastrutture virtualizzate, ma Aurora introduce un ulteriore elemento: l’assistente AI viene utilizzato per aiutare l’operatore a raggiungere il punto dal quale l’encryptor può essere distribuito.

Berlino conferma il furto dati ma non attribuisce l’attacco a Rhysida

A Berlino la fase estorsiva è già diventata pubblica. Dopo l’incidente individuato a metà agosto, la Cancelleria del Senato ha confermato ulteriori esfiltrazioni di dati dalla Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Le analisi forensi collocano il furto prima dell’isolamento delle reti del 14 agosto, mentre una successiva comunicazione ufficiale ha ristretto la finestra tra il 7 e il 12 agosto 2026. Berlino ammette che tra i file potrebbero essere presenti dati personali e informazioni non pubbliche, ma non ha ancora comunicato una quantità definitiva. Il gruppo Rhysida ha rivendicato l’operazione sul proprio leak site sostenendo di possedere circa 5,79 TB distribuiti su 1,44 milioni di file, ma queste cifre restano dichiarazioni dell’attore criminale e non dati confermati dalla città. La risposta politica è stata netta. Il sindaco Kai Wegner e la senatrice dell’Interno Iris Spranger hanno dichiarato ufficialmente che Berlino non cederà all’estorsione, mentre Landeskriminalamt, procura e autorità federali proseguono le indagini. Anche l’attribuzione resta aperta: le istituzioni tedesche non hanno identificato pubblicamente Rhysida come responsabile, nonostante la rivendicazione. La distinzione è particolarmente importante perché i numeri pubblicati dai leak site fanno parte della pressione esercitata sulla vittima e non equivalgono a una validazione forense. Rhysida resta comunque una famiglia conosciuta, sulla quale CISA, FBI e MS-ISAC avevano già pubblicato un advisory con tecniche di accesso e mitigazioni, comprese compromissioni di account validi, phishing e sfruttamento di vulnerabilità.

FulcrumSec rivendica 86 GB sottratti a Manchester Airports Group

Nel Regno Unito emerge invece una campagna di data extortion senza cifratura dichiarata dei sistemi. Manchester Airports Group aveva già confermato il 27 agosto una compromissione che interessa dati raccolti attraverso prenotazioni di parcheggi, lounge, Fast Track e registrazioni Wi-Fi negli aeroporti di Manchester, London Stansted ed East Midlands. MAG precisa nella propria comunicazione ufficiale che sono coinvolti indirizzi email, numeri telefonici, targhe e codici postali, mentre non risultano sottratti dati bancari o delle carte. L’attacco non ha compromesso sistemi aeroportuali, sicurezza dell’aviazione o operatività degli scali. La nuova rivendicazione, però, suggerisce un perimetro potenzialmente più ampio rispetto alle prime informazioni comunicate. FulcrumSec ha infatti dichiarato a BleepingComputer di avere sottratto circa 86 GB di informazioni. I campioni esaminati dalla testata contenevano riferimenti a prenotazioni Fast Track, orari di arrivo, terminal, importi pagati, codici delle prenotazioni, storico degli acquisti, indirizzi IP e informazioni sui dispositivi. Il gruppo sostiene inoltre di aver ottenuto accesso attraverso credenziali API di Iterable esposte nel JavaScript client-side e di possedere quasi 200.000 record relativi a viaggi futuri nel resto del 2026. BleepingComputer è riuscita a validare un record confrontandolo con la reale cronologia di acquisto di un viaggiatore, ma non ha potuto verificare indipendentemente né la dimensione complessiva di 86 GB, né la provenienza delle credenziali, né la quantità dichiarata dei viaggi futuri. Il precedente data breach di Manchester Airports Group aveva già evidenziato il rischio derivante dall’incrocio tra informazioni di viaggio, recapiti e targhe; la nuova rivendicazione aumenta soprattutto il rischio di phishing costruito intorno a prenotazioni autentiche.

Continua con:

• Berlino rifiuta il ricatto cyber dopo la conferma dei primi flussi di dati sottratti
• Akira disabilita le difese Windows attraverso Safe Mode prima di distribuire il ransomware

Il ransomware diventa una catena industriale tra AI, accessi e furto dati

Aurora, Berlino e Manchester mostrano tre punti differenti della stessa catena economica. Aurora sperimenta strumenti AI per ridurre il lavoro umano necessario dopo l’accesso iniziale, accelerando enumerazione, privilege escalation e movimento verso infrastrutture ad alto valore come ESXi. Rhysida utilizza il possesso presunto di terabyte di documenti pubblici come leva contro un’amministrazione che rifiuta di pagare. FulcrumSec punta invece direttamente sul furto e sulla minaccia di pubblicazione, senza che siano stati segnalati blocchi dei sistemi aeroportuali. La convergenza è nel dato: credenziali, archivi amministrativi, prenotazioni e infrastrutture virtuali diventano il capitale sul quale costruire l’estorsione. L’AI non sostituisce ancora l’operatore ransomware, ma riduce progressivamente la quantità di competenza manuale necessaria per trasformare un accesso già ottenuto in una compromissione profonda, aumentando la velocità con cui il cybercrime può passare dall’intrusione alla monetizzazione.