8月31日、The Hacker Newsが「Aurora Ransomware Operators Use Cursor AI in Attacks Against 10 Targets」と題した記事を公開した。AIコーディングアシスタントが攻撃者の「手足」として実際の侵害作業を代行する——今回明らかになったAuroraランサムウェアグループの手口は、AIエージェントが単なる情報収集や文章生成を超え、能動的な攻撃インフラとして組み込まれた新局面を示している。LLMを悪用したマルウェア生成の懸念はかねてより指摘されてきたが、エージェントが対話的にコマンドを実行しながら侵害を進める実例がここまで詳細に記録されたのは異例だ。

Cursor AgentがそのままPentoolになった

セキュリティ研究機関CloudSEKとGambit Securityが独立して発表した調査によると、Auroraランサムウェア（別名Aur0ra）の攻撃者は、Anysphere社が開発・提供するAIコーディングアシスタントCursorを使用してターゲットネットワークへの侵入を計画・実行していた。

Gambit Securityの脅威インテリジェンスディレクター、Eyal Selaによると、攻撃者は2026年4月8日〜5月21日の間に10の標的に対して、Cursorのエージェントモード（AnthropicのClaude Sonnetを使用）を使い、実際の侵害作業を実行させていた。

使い方が露骨だ。攻撃者はすでに入手済みの認証情報や既存のアクセス経路をエージェントに渡し、以下のような作業を指示していた：

• VPNクライアントやproxychainsのインストール・設定と、提供済み認証情報を使った被害者環境への接続
• NmapやNetExecによる内部サブネットのスキャン
• BloodHound（Active Directory環境の権限関係を可視化するツール）を使ったドメイン列挙
• PetitPotam、Coerce Plus、PrinterBugを使った認証強制からのNTLMリレー攻撃（Impacket ntlmrelayxを経由）
• Certipyによる証明書攻撃（AD CS悪用）

特に興味深いのは攻撃者の指示スタイルだ。「そのユーザーがどの権限を持っているか教えろ」と目的だけを告げるケースもあれば、使用ツールを明示するケース、あらかじめ生成した攻撃計画をそのまま渡すケースもあった。エージェントが「次に取りうる手順のリスト」を提示し、攻撃者が番号を返答するだけで作業が進む場面もあったという。

"In some cases, the Agent gave a list of potential next steps - and all the attacker did was reply with a number corresponding to one of them."
— Gambit Security

ただし、大半のコマンドは初回では目的を達成できず、複数回の修正と試行を経ていたとGambit Securityは指摘している。エージェントが万能だったわけではなく、あくまで作業の自動化と効率化に使われていた形だ。

攻撃の全体像：Zigで書かれたクロスプラットフォームなランサムウェア

CloudSEKの調査では、AuroraのインフラからWindowsとLinux両対応のランサムウェアバイナリが発見された。いずれもプログラミング言語Zigで書かれており、単一のコードベースからWindowsターゲット向け（sap.exe）とLinux/ESXi向け（encrypt.out）にクロスコンパイルされた静的ビルドだ。Windowsバイナリの内部にLinuxビルドの使用例が残っていたことが、同一コードベース由来であることを示している。

• Windows版：ボリュームシャドウコピーの削除とレジストリ経由でのシステム復元無効化により、暗号化後の復旧を妨害
• Linux/ESXi版：暗号化前にホスト上の全仮想マシンを強制停止するスクリプト（esxi_finder.py）を使ってVMware ESXiとvCenterを探索

CloudSEKの調査では、攻撃計画がロシア語で作成されており、CIS（独立国家共同体）加盟国のIPレンジとドメインは攻撃対象から一貫して除外されていたことも確認されている。元記事ではロシア語圏の犯罪グループとの関与を示唆しているが、帰属（attribution）の断定には至っていない。

初期侵入の手口はVishingだ（電話を使ったソーシャルエンジニアリング）。メールボムで標的を混乱させた後、ITヘルプデスク担当者を装って電話をかけ、オープンソースプロキシツールXray-coreを使ったリモートアクセスを確立させていた。

報酬構造も解明——アフィリエイトが54〜79%を取得

CloudSEKはAuroraの暗号化プログラムから身代金交渉の記録と暗号通貨ウォレットのクラスターも発見した。アフィリエイト（攻撃実行者）への報酬は**54〜79%**で、残りが管理者側に渡る。取り分は被害者ごとに異なり、要求金額や被害組織の収益規模によって決まっているとみられる。

Reutersが報じたところでは、被害を受けた企業にはChristeyns、Teckentrup、Helideck Certification Agency、Bayou Title、アルゼンチンの医薬品販売会社、イタリアのメーカーが含まれる。Ransomware.Liveのデータでは米国・ドイツ・オランダ・カナダ・英国など計33件の被害が確認されている。

同時期に別のAIビルドツールキット「Gryxa」も登場

本件と時期を同じくして、ReliaQuestが別途公開したレポートではGryxaと呼ばれるAI生成ツールキットが報告されている。AuroraとGryxaは直接関連しないが、いずれもAIを攻撃インフラ構築に活用するという点で共通した傾向を示しており、同時期の事例として注目される。Gryxaは金銭目的の攻撃者が324ホストを標的にした初期アクセス作戦のために構築したもので、ツールキットからその管理コンソールまで全体をAIで構築した初の事例だとReliaQuestは述べている。

Gryxaの特徴的な動作：

• 正規のRMM（リモートモニタリング・管理）ソフトウェアをバックドアに転用し、複数の独立した再起動メカニズムで持続性を維持
• ChromiumのApp-Bound Encryption（ABE）保護を回避してブラウザの保存済み認証情報を窃取し、Telegram経由で送信
• セキュリティエージェントとの接続が切れた場合、約10〜13分以内にMicrosoft Defenderをはじめとするエンドポイント保護を無効化・アンインストールを試みる
• セキュリティ担当者による対応内容（Windowsログ、ホストアーティファクト）を収集して攻撃者のインフラへアップロードし、どのツールが削除されたかを事後分析

攻撃者はAIコーディングエージェントを「承認された社内デプロイメント」として偽装することでジェイルブレイクし、ツールキット全体を生成させたとみられている。

エンジニアへの含意

AIコーディングエージェントが「ペネトレーションテストの知識を持つジュニア要員」として機能しうることを、今回の事例は実証した。モデルプロバイダー側のガードレール強化と並行して、組織側の防御においてもAIエージェントの悪用を前提とした脅威モデルの見直しが求められる。

具体的には以下のような対策が考えられる：

• エージェント実行ログの監視：Cursorをはじめとするコーディングエージェントが発行するシェルコマンドやネットワーク接続を、EDR・SIEMで可視化する
• 異常な自動化ツール実行の検知：Nmap、BloodHound、Impacketといった攻撃者が常用するツールの実行を、通常業務のコンテキストと照合してアラートを上げる仕組みを整備する
• エンドポイント保護の耐性確保：GryxaのようにDefenderの無効化を試みるツールへの対策として、タンパープロテクション設定の徹底とEDRエージェントの保護強化が有効だ
• AIエージェントの利用ポリシー策定：社内でAIコーディングツールを業務利用する場合、エージェントモードの使用範囲とアクセス権限を明示的に制限するポリシーの整備が急務となっている

詳細はAurora Ransomware Operators Use Cursor AI in Attacks Against 10 Targetsを参照していただきたい。