Przestępcy stojący za ransomware coraz częściej korzystają z tych samych narzędzi co programiści — łącznie z asystentami AI. 27 sierpnia 2026 roku firma CloudSEK opublikowała analizę, w której opisała przypadek rosyjskojęzycznego „partnera” grupy ransomware Aurora. Napastnik przez pomyłkę zostawił na swoim serwerze otwarty katalog, dostępny dla każdego, kto trafił pod właściwy adres. W środku znalazły się jego narzędzia, historia wpisywanych poleceń, wykradzione dane logowania, gotowy program szyfrujący i — co najciekawsze — zapisy rozmów z asystentem kodowania Cursor.
Co dokładnie wyciekło
Zebrany materiał obejmuje działalność od kwietnia do lipca 2026 roku w dziewięciu krajach. Napastnik zaatakował ponad dwadzieścia organizacji, w siedemnastu z nich uzyskał dostęp na poziomie kontrolera domeny lub sesji interaktywnej, a czterech poszkodowanych trafiło na publiczną stronę wycieków grupy Aurora. Wśród ofiar są firmy produkcyjne, spożywcze, rolnicze i usługowe. Analitycy CloudSEK wspólnie z TRM Labs prześledzili też transakcje kryptowalutowe i potwierdzili, że co najmniej jedna ofiara zapłaciła okup.
Sam schemat ataku nie był nowatorski. Napastnik łączył się przez wynajęte serwery proxy, rozpoznawał sieć narzędziem NetExec, wyciągał hasła technikami ASREPRoasting i Kerberoasting, zrzucał zawartość baz SAM i LSA, mapował uprawnienia w Active Directory przy pomocy BloodHound, a następnie sięgał po nadużycia usług certyfikatów i ataki typu NTLM relay. To repertuar znany zespołom bezpieczeństwa od lat.
Rola sztucznej inteligencji
Nowy jest jednak sposób planowania. W ostatnich tygodniach zarejestrowanej aktywności napastnik prowadził po rosyjsku długie rozmowy z asystentem Cursor, ustalając kolejne kroki włamania. Najbardziej rozbudowana sesja dotyczyła nadużycia usługi Active Directory Certificate Services, czyli firmowego systemu wystawiania certyfikatów, w konkretnej zaatakowanej sieci.
Warto zauważyć, że nie było to „wygenerowanie gotowego wirusa”. Zapisy pokazują raczej dialog: napastnik wklejał wyniki rozpoznania, a asystent pomagał je zinterpretować i zaproponować następny ruch. Efekt jest taki, że osoba o średnich kompetencjach potrafi szybciej przełożyć zebrane informacje na skuteczny atak. Techniki pozostają te same — zmienia się tempo, w jakim ktoś potrafi po nie sięgnąć. To zresztą sygnał ostrzegawczy dla obrońców: okno między pierwszym włamaniem a przejęciem domeny będzie się skracać.
Sam szyfrator
Ransomware Aurora został napisany w języku Zig, co jest w tym środowisku rzadkością — z jednej bazy kodu powstają wersje na Windows oraz na Linuksa i VMware ESXi. Wariant windowsowy przed szyfrowaniem kasuje kopie w tle, zmienia rozmiar magazynu kopii i wyłącza przywracanie systemu, żeby odebrać ofierze możliwość odzyskania plików. Wersja na ESXi najpierw wyłącza działające maszyny wirtualne, a potem szyfruje ich pliki — dlatego jeden atak potrafi położyć kilkanaście systemów firmowych naraz.
Jak się bronić
Zalecenia z raportu są konkretne i w większości nic nie kosztują poza czasem administratora. Warto wyłączyć protokoły LLMNR i NBT-NS, włączyć podpisywanie SMB oraz Extended Protection for Authentication, ograniczyć zdalne zarządzanie WinRM do wyznaczonych stacji administracyjnych i usunąć z sieci resztki protokołu SMBv1.
Osobnej uwagi wymaga usługa certyfikatów: należy przejrzeć szablony certyfikatów pod kątem ryzykownych ustawień oraz logować żądania i wydania certyfikatów, bo to właśnie tu napastnik szukał drogi do przejęcia domeny. Jeśli podejrzewamy kompromitację kontrolera domeny, hasło konta krbtgt trzeba zmienić dwukrotnie, z pełną replikacją między zmianami.
Poza tym obowiązują zasady, które powtarzamy przy każdym ataku ransomware: kopie zapasowe trzymane w osobnej sieci i na osobnych poświadczeniach, segmentacja, zabezpieczenie haseł zapisanych w przeglądarkach, oddzielne konta administracyjne oraz odcięcie interfejsów zarządzania wirtualizacją od zwykłej sieci firmowej.
Podsumowanie
Sprawa Aurory jest pouczająca z dwóch powodów. Po pierwsze pokazuje, że asystent AI stał się dla przestępcy zwykłym narzędziem pracy — nie tworzy nowych ataków, ale przyspiesza te znane, więc obrona musi reagować szybciej niż kiedyś. Po drugie to napastnik padł ofiarą własnego niedbalstwa: otwarty katalog na serwerze zdradził jego narzędzia, ofiary i portfele. Ta sama podstawowa higiena konfiguracji, której brak kosztował go całą operację, chroni też firmy — i tu, i tam wygrywa ten, kto pilnuje szczegółów.
źródło: https://www.cloudsek.com/blog/aurora-ransomware-affiliate-ai-attack-planning-crypto-payments