AuroraランサムウェアがVMware ESXiを暗号化、Cursor Agentを10組織の侵入で悪用 — Gambit Securityが分析

Gambit Securityの脅威インテリジェンスチームは2026年8月27日、Auroraランサムウェアの運用を分析したレポートを公開した。Auroraは2026年4月ごろから活動が確認されている二重恐喝グループで、今回の調査ではVMware ESXiを狙うLinux版暗号化ツールと、AIコーディング支援ツール「Cursor Agent」を使ったハンズオン侵入の実態が明らかになった。

何が起きたのか

Gambitは、Auroraの運用インフラが外部に露出していたことから、複数の被害環境での活動を追跡できた。攻撃者はCloudflare R2に置いたLinuxバイナリ encrypt.out（SHA-256: a4af136d159a8eb96b54924fa80355ca52874913301300f55af7d67ae97edcfe）を手動で内部ホストへコピーし、ESXiハイパーバイザー上の仮想マシンを暗号化していた。

もう一つの注目点は、Cursor Agentの悪用だ。攻撃者は2026年4月8日から5月21日の間に10組織で、Cursor AgentにAnthropicのClaude Sonnet（claude-4.5-sonnet-thinking）を組み合わせて、偵察や権限確認、認証の強制と中継などの作業を任せていた。Gambitは各組織でのAgentセッションと実行コマンド数を時系列で示し、多くのコマンドが初回は失敗し、Agentがスクリプトを修正しながら再試行する様子を観測したと説明している。

Gambitはあわせて、S3互換ストレージへのデータ窃取を特徴とする別の活動クラスターも確認した。イスラエル、ドイツ、オーストリア、スペイン、米国、アルゼンチンにまたがる8組織で、SQL Serverのxp_cmdshell経由の横展開やGodPotatoでの権限昇格、s5cmdでの窃取が行われていた。

ESXi向け暗号化の手口

Linux版暗号化ツールの主な挙動は以下の通りだ。

• 暗号方式: ファイルはChaCha20で暗号化し、セッション鍵を埋め込みのRSA-4096公開鍵でラップする。
• ESXiモード（-esxi）: esxcli vm process listで稼働中VMのWorld IDを収集し、esxcli vm process kill --type=force --world-id=<ID>でVMを強制停止してから暗号化する。仮想ディスクのロックを解除することが目的だ。対象拡張子はvmdk, vmx, vmsd, vmsn, nvram, vmem, vswp, logで、BOOTBANK*やOSDATA*などハイパーバイザーのシステム領域はスキップして、身代金メモを提示できるよう起動は維持する。
• 身代金メモの提示: /etc/ssh/sshd-bannerに脅迫文を書き込み、SSH接続時にログイン前に表示させる。埋め込まれた交渉用Onionアドレスは hxxp://ijexszhscln27nl263lmcd7tx3jttkhm4wjhd4e3y6r4csdbfyeprvid[.]onion。

ホスト探索には、Gambitがesxi_finder.pyと呼ぶNetExec用LDAPモジュールが使われた。ドメインコントローラへのLDAP問い合わせや、運用者が与えたアドレス範囲から内部サブネットを把握し、443番と902番ポートを走査してTLS証明書のesxi署名や/sdk・/ui/へのアクセスでESXiやvCenterを識別する。

Cursor Agentはどう使われたか

Gambitによると、攻撃者は既存の認証情報やSOCKSトンネルの経路をAgentに渡したうえで、以下のようなタスクを指示した。

• VPNクライアントやproxychainsの導入と、与えられた認証情報での接続
• NmapやNetExecでの内部スキャン
• NetExecのBloodHoundコレクタでのドメイン権限の棚卸し
• PetitPotam、Coerce Plus、PrinterBugでの認証強制と、ImpacketのntlmrelayxでのNTLMリレー
• Certipyでの証明書攻撃

指示の出し方は、「目的だけを伝える場合」「使うツールを指定する場合」「過去にAgentが生成した攻撃計画に沿わせる場合」などばらつきがあり、Agentが提示した次の手から攻撃者が番号で選択する場面もあったという。

一方で、攻撃者は各セッションで次の制約を繰り返し命じていたとGambitは指摘する。

• DCSyncは絶対にしない（ロシア語で「dcsync делать категорически нельзя」など5回以上）
• アカウントをロックしない（推測やスプレー時に毎回付記）
• ドメインに新しいコンピュータオブジェクトを作らない

これらは、検知や業務影響を避けつつ、ドメインコントローラのハッシュ取得など別の手段で目的を達しようとする運用上のガードレールとみられる。なお、Gambitは「大半のコマンドが初回は目的を達成できず、複数回の調整を要した」と述べており、AIが自律的に侵入を完遂したわけではなく、人手による監督と反復が前提だったことを強調している。

もう一つのクラスター：S3への窃取

Gambitが「中程度の確度でAuroraの運用者」とする別クラスターでは、手口が異なる。漏えいサイトに掲載された組織のデータが、窃取に使われたS3互換ストレージに9日前に格納されていたことから関連付けられた。

• 横展開: 露出したSQL Serverのxp_cmdshell
• 権限昇格: GodPotatoでSYSTEMへ
• 認証情報取得: DCSync
• 窃取: s5cmdで自前S3エンドポイントへ転送

組織が確認すべきこと

Gambitが示した主な侵害指標（IoC）は以下の通りだ。

• C2やSOCKSプロキシのIP: 172.86.113.245, 172.86.90.75ほか
• 暗号化ツール配布URL: pub-c057b7d0b24944a29e381ce9ea22a2f1.r2[.]dev/xu4gid0t8er3.out
• 交渉用Onion: ijexszhscln27nl263lmcd7tx3jttkhm4wjhd4e3y6r4csdbfyeprvid[.]onion
• 漏えいサイト（クリアネット）: exposedrecords[.]io

Gambitは「本レポートは特定製品の対策を推奨するものではない」としつつ、ESXi管理インターフェースの隔離、認証情報の管理、AI開発ツールの実行監視、SSHバナーの監視、S3系ツールによる外部送信の監視が、今回観測された手口の検知に役立つと説明している。VMware ESXiを利用する組織は、ハイパーバイザーへのアクセス経路と仮想マシン停止を伴う暗号化のリスクを前提に、バックアップのオフライン保管と復旧手順を確認しておくことが重要だ。

出典

• Gambit Security, “Aurora ransomware targets ESXi, abuses Cursor Agent for exploitation”（2026年8月27日） https://gambit.security/blog-posts/aurora-ransomware-targets-esxi-abuses-cursor-agent-for-exploitation