勒索軟體Aurora同時借助Cursor AI與Claude Sonnet的力量，鎖定ESXi環境加密檔案

Aurora 勒索軟體結合 AI 助手，鎖定 ESXi 環境

資安公司 Gambit Security 近日披露，勒索軟體 Aurora（Aur0ra） 自 2024 年 4 月起，利用兩大 AI 程式碼助手 Cursor AI 與 Claude Sonnet，對 VMware ESXi 虛擬化平台發動手動攻擊。從 4 月 8 日至 5 月 21 日，攻擊者在 10 家企業內部執行多階段滲透，最終將虛擬機 (VM) 加密，並在 SSH 橫幅寫入勒索訊息。

攻擊手法與 AI 的角色

• 自製 NetExec LDAP 模組：先向網域控制器查詢物件，掃描 443、902 埠，讀取 TLS 憑證取得 ESXi 簽章，拉取系統指紋與詳細資訊。
• AI 輔助滲透：駭客將 Cursor 與 Claude Sonnet 配合使用，提供憑證或路由器資訊給 Cursor，讓其自動產生攻擊腳本。部分指令僅要求 Cursor 回報使用者權限清單；另一些則由操作員下達指示，讓 AI 執行 VPN 客戶端、代理伺服器部署，或呼叫 Nmap、NetExec 進行網路掃描。
• NTLM 中繼攻擊：攻擊鏈中亦見使用 PetitPotam、Coerce Plus、PrinterBug 及 Impacket 等工具，嘗試以 NTLM 中繼方式提升權限。

受害規模與背景

根據 CloudSEK 的調查，攻擊者以俄語與 AI 互動，刻意排除獨立國家國協 (CIS) 地區，至 7 月已造成超過 20 家企業組織受害。Aurora 的活動顯示，AI 程式碼助手已從開發輔助轉變為攻擊者的「即時作戰平台」。

未來展望與防禦建議

1. 加強 ESXi 及 vCenter 的資安配置：關閉不必要的 443、902 埠，啟用雙因素驗證，定期更新韌體與安全補丁。

2. 監控 AI 助手的使用行為：企業應建立 AI 工具的存取審計，防止憑證或網路拓撲資訊外洩。

3. 部署行為偵測 (EDR) 與零信任架構：即時偵測異常指令產生與非授權的 VPN/代理部署，降低 AI 產生的攻擊腳本成功率。

AI 技術正快速被惡意勢力武器化，資安團隊必須同步提升防禦能力，才能在 AI 助手與