Auroraランサムウェアが『Cursor』を悪用 — 露語で攻撃計画を立案、20組織超でAD侵害とZig製暗号化をCloudSEKが解明

CloudSEKは2026年8月27日、ランサムウェア「Aurora」（別名Aur0ra）の露語話者グループに関する調査結果「Caught in 4K: The Aurora Files」を公表した。同社は、ポート8888で認証なく公開されていたLinuxホームディレクトリのオープンディレクトリから、2026年4月から7月にかけて9カ国20組織超に対する侵入の記録と、AIコーディング支援ツール「Cursor」を露語で使って攻撃を計画した痕跡を回収した。分析はTRM Labsとの連携で身代金支払いのブロックチェーン追跡も含み、Auroraの手口とAI悪用の実態を示している。

露出したディレクトリから見えたもの — 20組織超でAD侵害

CloudSEKによると、公開されていたディレクトリは攻撃者自身のLinuxホームディレクトリで、組織ごとに一貫した命名規則でファイルが整理されていた。Kerberosチケットや認証情報、SAM/LSAダンプ、Group Policyのエクスポート、BloodHoundの収集結果に加え、シェル履歴やCursorのチャットログ、Auroraの暗号化ツール本体と身代金メモがそのまま残されていた。暗号化ツールに埋め込まれた身代金メモは、Auroraが公開するものと一字一句一致した。

攻撃者は20組織超に侵入し、うち17組織ではドメイン管理者相当の対話的アクセスを獲得していた。4組織は後にAuroraのリークサイトに掲載された。CloudSEKは、回収した鍵から被害者と攻撃者の交渉を可視化し、TRM Labsが支払いをチェーン上で追跡した結果、少なくとも2件の確定した支払いと、さらに2件のAurora被害者と整合する支払いが、共通の資金洗浄インフラに収束していることを確認した。CloudSEKは、活動がアクセス販売で終わらず、認証情報窃取からドメイン侵害、窃取、暗号化ツールの展開、支払いまで一貫して同一グループが行ったと評価し、ロシア語話者のAuroraアフィリエイトが直接運用していると高い確信度で分析している。

Cursorを露語で駆使 — ADCSとNTLMリレーの計画をAIが立案

CloudSEKが注目したのは、攻撃者が「Cursor」を活発に使っていた点である。Cursorはエージェント型のコーディング支援ツールで、攻撃者は露語で指示を与え、独立国家共同体（CIS）圏のIP範囲やCIS諸国のドメインを除外する条件を付けたうえで、攻撃手順を立案させていた。回収されたチャット履歴では、ADCS（Active Directory証明書サービス）の悪用計画が露語で詳細に記述されていた。

攻撃者がCursorに立案させた権限昇格の主な経路は次の通りである。

• noPac：マシンアカウントの改名からTGT取得、S4U2selfへつなぐ独自スクリプト化された手法
• ADCS ESC1 / ESC6 / ESC8：証明書テンプレートの誤設定を突きドメイン管理者証明書を発行する手口や、登録エンドポイントへのNTLMリレー
• NTLMリレー：PetitPotam、PrinterBug、DFSCoerceで認証を強制し、Impacketのntlmrelayxで中継してドメイン管理者権限を奪取

CloudSEKは、列挙自体はNetExec（旧CrackMapExec）によるLDAP/SMB探索やパスワードポリシー取得、ASREPRoasting、Kerberoastingといった定型的な手順を毎回同じ出力ファイル名で繰り返していたと指摘する。一方で、最も深く入り込んだ環境では、複数のドメインコントローラにまたがる多数のホストを列挙し、証明書テンプレートの誤設定を見つけて実際に悪用を試みていた。

攻撃者はさらに、7つのブラウザを対象とする認証情報窃取モジュールや、VMware ESXiを探索する専用モジュールを含む独自のNetExecモジュールを、露語で文書化されたプライベートGitLabリポジトリで管理していた。

Zigで書かれた暗号化ツール — WindowsとLinuxで共通コード

Auroraの暗号化ツールは、GoやRustが主流のランサムウェア界では珍しい「Zig」言語で書かれていた。Zigは若いシステム言語で、単一の静的バイナリや複数OSへの容易なクロスコンパイルといった利点を持つ。CloudSEKは、公開されたマルウェア検体の中でZig製は少なく、かえって指紋として目立ちやすいと指摘する。

Windows版「sap.exe」とLinux/ESXi版「encrypt.out」は、別々に書かれたものではなく、単一のZigコードベースから異なるターゲット向けにビルドされた静的バイナリである。WindowsバイナリにはLinuxビルドの使用例がそのまま残るなど、共通ソースの痕跡があった。

主な実行オプションは次の通りである。

• -path <folder>：全ディスクではなく特定フォルダのみを暗号化
• -percent <N>：ファイル内容の0〜100%を暗号化（既定はファイルサイズに応じた自動比率）
• -esxi：VM関連ファイル（vmdk、vmx、vmsdなど）のみを暗号化し、ESXiのシステム領域は除外
• -threads / -scanners：ワーカー数やスキャン数の制御

Windows版は、バックアップ権限の有効化から全ボリュームシャドウコピーの削除、レジストリでのシステム復元の無効化、Hyper-V管理サービスの確認までを一連のルーチンで実行し、復旧を妨げる。Linux/ESXi版は、暗号化前にホスト上の全仮想マシンを1コマンドで強制停止し、身代金メモをファイルではなくESXiホストのSSHログインバナーに書き込むという特徴を持つ。カーネルのエントロピー枯渇を警告する自己診断機能も備えていた。

被害の広がりとCIS除外

被害は製造、食品・農業、専門サービス、輸送、消費財など多岐にわたり、特定業種への偏りはなく、アクセスが得られた組織を機会的に狙う姿が浮かぶ。CloudSEKは、被害の多くがまだリークサイトに掲載されていないとし、公表前の組織については各国のCERTや被害者への通知を2026年8月27日の公表前に開始したと説明している。

Gambit Securityも同時期に、Auroraの運用者が2026年4月8日から5月21日に10標的でCursor Agent（AnthropicのClaude Sonnetを搭載）を用い、VPNやproxychainsの設定、NmapやNetExecでの内部走査、BloodHound収集、Certipyでの証明書攻撃などをエージェントに委任していたと報告した。攻撃者は「ユーザーの権限を教えて」といった目的のみを指示する場合と、使用ツールを指定する場合があり、エージェントが提示した次の手順の候補から番号で選ぶだけの場面もあったという。Gambit Securityは、多くのコマンドが初回で失敗し複数回の修正を要したが、一部は目的を達成したと分析している。

また、CloudSEKは3カ月分の活動でCISに割り当てられたIP範囲やCIS諸国のドメインが一度も現れなかったことを確認し、Gambit Securityが引用するCloudSEKの観察では、露語話者グループがCIS圏を一貫して除外していたと報告している。

日本の組織が学ぶべき対策 — CloudSEKとGambit Securityが示す防御の視点

CloudSEKとGambit Securityは、特定の製品や設定を推奨するのではなく、Auroraが突いたADと仮想化基盤の弱点を塞ぐことが重要だと分析している。

• Active Directoryと証明書サービスの棚卸し：CloudSEKは、ADCSのテンプレート誤設定（ESC1、ESC6、ESC8）やnoPac、NTLMリレー経路を攻撃者が重点的に狙ったと報告した。証明書テンプレートの権限や登録時の検証を定期的に監査し、不要なテンプレートを無効化することが防御の起点となるとしている。
• 仮想化基盤の保護：Linux/ESXi版が全VMを停止してから暗号化する手口は、バックアップを含む仮想化基盤全体を人質にする。ESXiやvCenterへのアクセスは多要素認証と最小権限で保護し、バックアップの隔離と復旧テストを推奨する趣旨の指摘が両社から示されている。
• AI支援ツールの悪用への備え：Cursorのような正規のAI支援ツールが攻撃計画やスクリプト生成に使われたことは、防御側もAIによる攻撃の高速化を前提とする必要があることを示す。CloudSEKは、攻撃者が公開の概念実証をほぼ無改変で利用しつつ、AIで運用を補完していたと分析している。

日本の製造業や食品、専門サービスなど、Active DirectoryとVMware ESXiを広く使う組織も同様の構成を持つ。CloudSEKは、公開ディレクトリの放置が攻撃者の手の内を露呈させたと同時に、被害組織への迅速な通知とTRM Labsによる資金追跡が被害の連鎖解明につながったとしている。

出典

• CloudSEK「Caught in 4K: The Aurora Files」（2026年8月27日） — https://www.cloudsek.com/blog/aurora-ransomware-affiliate-ai-attack-planning-crypto-payments