O grupo de cibercrime GOLD OGRE está usando agentes de programação com inteligência artificial (IA), incluindo o Cursor e o Claude, da Anthropic, para automatizar invasões em nome do ransomware Aur0ra (Aurora).
Pesquisadores da Sophos afirmam que os agentes passaram do acesso a credenciais para o nível de administrador de domínio com pouca participação humana.
Ataques com IA do ransomware Aur0ra
Em maio de 2026, pesquisadores da Unidade de Contra-Ameaças da Sophos (Counter Threat Unit, CTU) relataram uma estrutura de pós-exploração assistida por IA, criada para testar produtos de detecção e resposta em endpoints (EDR, na sigla em inglês) de vários fornecedores, incluindo a própria Sophos.
Depois, a Sophos constatou que a mesma infraestrutura hospedava o Cobalt Strike em apoio às operações da Aur0ra.
De acordo com pesquisa técnica publicada pela Sophos, o grupo, monitorado como GOLD OGRE, usou o Cursor para criar e executar suas ferramentas. O modelo de agente Composer, do próprio Cursor, conduziu as invasões, junto com modelos da Anthropic, da xAI e da Moonshot.
Os atacantes inicialmente dependeram quase totalmente da Anthropic e depois adicionaram outros modelos à medida que passaram da criação de ferramentas para a invasão de redes.
Os atacantes contornaram as barreiras de segurança da IA apresentando suas atividades como trabalho autorizado de red team ou como “testes de diagnóstico”. Prompts em russo e vestígios de layout de teclado nos registros sugerem que os operadores são falantes de russo.
Operadores humanos forneceram credenciais de rede privada virtual (VPN), acesso SOCKS (protocolo de proxy), alvos e objetivos. Em seguida, os agentes executaram descoberta no Active Directory, analisaram caminhos de ataque a credenciais e se moveram lateralmente pela rede. Eles vasculharam compartilhamentos de rede, backups e armazenamentos conectados à nuvem.
As técnicas observadas incluíram password spraying, Kerberoasting, coerção e retransmissão (relay) de autenticação NTLM (protocolo de autenticação da Microsoft) e extração de credenciais de arquivos e backups.
Em alguns ambientes, os agentes obtiveram acesso de gerenciamento de domínio, e três dessas vítimas apareceram depois no site de vazamento da Aur0ra. Os operadores também orientaram os agentes a evitar a força bruta barulhenta contra contas de administrador de domínio e a priorizar servidores de backup, NAS (armazenamento conectado à rede) e hosts de virtualização.
Os dados foram preparados e exfiltrados para armazenamento compatível com S3 (padrão de armazenamento em nuvem). Um dos operadores usou um binário com nome VeeamTransport para copiar dados para um bucket S3 no endereço 152[.]236[.]4[.]14.
No fim de agosto de 2026, a Gambit Security e a CloudSEK descreveram atividade semelhante a partir de um diretório aberto exposto no endereço 172[.]86[.]113[.]245. O diretório continha binários da Aur0ra para Windows e para ambientes compatíveis com ESXi (hipervisor da VMware), histórico de shell e registros de conversas do Cursor.
A Gambit citou um agente Claude 4.5-Sonnet executando ataques semiautomatizados com Nmap, NetExec, BloodHound, PetitPotam, Impacket e Certipy. Há apenas uma sobreposição de infraestrutura: o IP do SOCKS 45[.]59[.]113[.]63.
A Sophos avalia com alta confiança que o GOLD OGRE testou técnicas de evasão com IA e depois disponibilizou ferramentas semelhantes para afiliados. A empresa espera que outros grupos de ransomware sigam o mesmo caminho.
As equipes de defesa devem corrigir dispositivos expostos à internet, implantar autenticação multifator (MFA) resistente a phishing e monitorar alertas de EDR, respondendo rapidamente.
Além disso, as organizações devem segmentar servidores críticos, isolar backups, revisar privilégios de administrador de domínio e usar gerenciamento de acesso privilegiado e controles de aplicações.
