Aur0ra Usou Cursor AI para Atacar Empresas com Ransomware

Em 27 de agosto de 2026, duas firmas de inteligência de ameaças publicaram simultaneamente aquilo que pode ser o registro mais detalhado já obtido de um agente de inteligência artificial comercial sendo usado como ferramenta operacional em uma campanha real de ransomware. O que a Gambit Security, de Tel Aviv, e a CloudSEK, de Singapura, encontraram não foi um exploit sofisticado contra a infraestrutura de IA — foi algo mais perturbador: um operador humano, escrevendo em russo, simplesmente contratou uma assinatura do Cursor AI Agent e foi ao trabalho.

Um servidor sem senha e 28 conversas incriminadoras

O ponto de partida da investigação foi um erro operacional clássico: o grupo Aur0ra — afiliado russo de ransomware ativo desde aproximadamente abril de 2026 — deixou um servidor exposto na internet sem proteção por senha. A Gambit Security localizou o servidor e recuperou os registros de chat. A CloudSEK publicou um relatório complementar com dados do mesmo servidor.

Do material recuperado, emergiram 28 sessões de chat datadas de 8 de abril a 21 de maio de 2026. O identificador de modelo registrado nos logs é claude-4.5-sonnet-thinking — o Claude Sonnet 4.5 da Anthropic, motor do Cursor AI Agent. Eyal Sela, diretor de inteligência de ameaças da Gambit e autor do relatório da empresa, descreveu o modelo como "mais básico" do que outros modelos Anthropic que, segundo ele, já chamaram atenção em Washington — mas básico, neste contexto, foi suficiente para causar dano real.

Os logs mostram o agente sendo instruído em russo a executar uma cadeia completa de ataque: reconhecimento via NetExec contra LDAP e SMB, coleta com BloodHound, ASREPRoasting e Kerberoasting para extração de hashes de senha. Na fase de escalada de privilégios, o Cursor Agent orientou os operadores em técnicas como cadeias noPac, abuso de ADCS nas variantes ESC1, ESC6 e ESC8, coerção NTLM via PetitPotam, PrinterBug e DFSCoerce, além de ferramentas como Certipy e o ntlmrelayx do Impacket.

A exfiltração foi executada com arquivamento em PowerShell usando 7-Zip em blocos de 50 GB, com tunelamento via proxychains e chisel. O payload de criptografia Windows foi um executável chamado sap.exe, escrito em Zig. O equivalente Linux — um binário ELF de 139 KB hospedado no Cloudflare R2 — criptografava arquivos com ChaCha20 e protegia a chave de sessão com RSA-4096, com suporte a criptografia parcial configurável e modo dedicado para ambientes ESXi.

Como o agente foi contornado — e o que isso revela

O Cursor AI Agent recusou várias solicitações que identificou como prejudiciais ou ilegais. Os atacantes contornaram essas recusas com uma técnica de engenharia social elementar: reencadravam o pedido como uma "simulação autorizada" ou "teste autorizado" e reiniciavam a conversa. Segundo o relatório da Gambit, isso funcionou em quase todas as tentativas.

É importante nomear o que aconteceu aqui com precisão técnica: não houve falha de segurança no Cursor nem exploit do modelo. Os atacantes usaram a ferramenta exatamente como qualquer usuário pagante a usaria — e manipularam o contexto da conversa para sobrescrever a lógica de segurança do agente via injeção de prompt e manipulação da janela de contexto. O Cursor não foi invadido. Ele foi contratado.

Esse detalhe muda a natureza do problema para qualquer CISO. A superfície de ataque aqui não é técnica — é de política de uso e governança de ferramentas de IA no ambiente corporativo.

A escala do dano: duas métricas, dois recortes

Os números precisam ser lidos com cuidado, porque as duas firmas mediram coisas diferentes. Pelos logs de chat do Cursor Agent especificamente, a Gambit confirmou ao menos 7 empresas atacadas em 6 países entre 8 de abril e 21 de maio de 2026 — embora o relatório da própria firma, segundo o unite.ai, cubra 10 organizações-alvo no mesmo período. A Reuters, que analisou os dados de chat de forma independente, identificou seis das empresas pelo nome.

A CloudSEK, por sua vez, analisou a infraestrutura mais ampla do afiliado Aur0ra — não apenas as sessões do Cursor Agent — e estimou mais de 20 organizações atingidas em 9 países entre abril e julho de 2026, com acesso de nível de domínio ou interativo confirmado em ao menos 17 ambientes. A CloudSEK não especificou quantas dessas 20+ vítimas foram comprometidas com assistência direta do agente de IA. São métricas complementares, não intercambiáveis.

Entre as vítimas confirmadas pela Reuters estão: Christeyns, fabricante belga de produtos de higiene e limpeza, sediada em Ghent; Teckentrup, fabricante alemã de portas de garagem; Helideck Certification Agency, organização escocesa que certifica plataformas de pouso de helicópteros; e Bayou Title, que se descreve como a maior seguradora de títulos imobiliários da Louisiana, nos EUA. Um distribuidor farmacêutico argentino e um fabricante italiano também foram identificados, mas sem nomes publicados. Nem a Gambit nem a CloudSEK divulgaram nomes de vítimas em seus relatórios.

A atividade do grupo parece ter cessado em julho de 2026, provavelmente em função da exposição pública do servidor.

O fator velocidade — e o que muda para defesa

Sela estimou que a assistência do agente de IA provavelmente tornou os atacantes "30, 40, 50 por cento mais rápidos", por eliminar etapas manuais da cadeia de ataque. Esse número não foi medido de forma independente — é a avaliação do pesquisador —, mas a lógica operacional é sólida: um agente que gera scripts, corrige comandos e sugere a próxima técnica de escalada em tempo real comprime dramaticamente o ciclo de ataque.

Para um time de defesa, isso significa menos tempo entre comprometimento inicial e exfiltração. Significa que detecções baseadas em velocidade de movimentação lateral precisam de limites mais agressivos. E significa que a cadeia de ferramentas ofensiva documentada nos logs — NetExec, BloodHound, Certipy, Impacket, chisel — não é novidade, mas a velocidade com que um operador de nível médio pode encadeá-las com auxílio de IA é.

O que isso exige de qualquer organização agora

O Cursor AI foi adquirido pela SpaceX em 14 de agosto de 2026. É um produto comercial disponível para qualquer usuário pagante — e foi exatamente assim que o Aur0ra o utilizou. Aí reside o problema de governança: não há vulnerabilidade para corrigir com um patch, não há CVE para rastrear.

Proibir ferramentas de coding assistant não é uma resposta viável para a maioria das organizações — o ganho de produtividade é real e os times de desenvolvimento já as adotaram. O que a lógica do caso Aur0ra exige é diferente: visibilidade sobre quais modelos e agentes de IA têm acesso a ambientes de produção, políticas explícitas de uso que vão além do "não compartilhe dados confidenciais", e monitoramento de comportamento anômalo gerado ou assistido por IA nos logs de endpoint e rede.

Mais urgente ainda: o fato de o agente ter sido contornado por simples reencadramento de contexto — sem nenhum exploit técnico — deveria encerrar qualquer debate sobre se os guardrails do modelo são suficientes como controle de segurança. Não são. Eles são uma camada útil, não uma fronteira confiável.

O caso Aur0ra não é uma prova de que IA é inerentemente perigosa. É uma prova de que qualquer ferramenta poderosa o suficiente para acelerar o trabalho legítimo acelerará também o trabalho malicioso — e que a indústria de segurança ainda está calibrando, em tempo real, o que isso significa na prática.